スーパーコンピュータ SQUID における多要素認証の運⽤
寺前 勇希 1), 木越 信一郎 1), 伊達 進 2)
1) 大阪大学 情報推進部 情報基盤課 研究系システム班
2) 大阪大学 サイバーメディアセンター 応用情報システム研究部門
teramae-y@cmc.osaka-u.ac.jp

Operation of Multi-Factor Authentication on SQUID
Yuki Teramae1), Shinichiro Kigoshi1), Susumu Date2)
1) Department of Information and Communications Technology Services, Osaka University2) Applied Information Systems Research Division, Cybermedia Center, Osaka University

概要
大阪大学サイバーメディアセンターでは 2021 年 5 月よりスーパーコンピュータシステ
ム SQUID を運用している。本システムは多要素認証を導入しており、従来のパスワード認証に加えて TOTP による認証を実施している。本稿では、本システムで導入した多要素認証の仕組みを紹介するとともに、導入後 2 年間の運用状況と今後の課題を記す。

SQUID システムを提供する役割から、セキュリ1. はじめにティの確保は不可欠である。そこで、SQUID に大阪大学サイバーメディアセンター（以下、おいては、SSH 接続の認証方式として新たに多要本センター）では、2021 年 5 月よりスーパーコン

素認証 (MFA: Multi-Factor Authentication) を導入し、

ピ ュ ー タ シ ス テ ム SQUID （ Supercomputer for
Quest to Unsolved Interdisciplinary Datascience）の運用を開始した。SQUID は、汎用 CPU ノード群、GPU ノード群、ベクトルノード群、大容量ストセキュリティを強化することとした。

2. 多要素認証の導入検討
2-1. 多要素認証の方式について

レ ー ジ か ら 構 成 さ れ 、 総 理 論 演 算 性 能 16.591

本センターのように他機関の利用者に対してPFLOPS を有するスーパーコンピュータである[1]。

提供するスーパーコンピュータシステムにおいて本センターをはじめ、全国共同利用施設のスは、SSH 接続の認証にパスワードあるいは公開鍵ーパーコンピュータを利用する場合は、外部からを用いることが多い。SQUID ではシステム上のインターネットを通じて Secure Shell による接続制約や構築期間等を鑑み、多要素認証として通常(以下、SSH 接続) を行うことが一般的である。のパスワード認証に加えて、時間ベースワンタイ

SSH 接続の認証方式としては、公開鍵認証およびムパスワード (以下、TOTP: Time-Based One-Time

パスワード認証のいずれかを用いるケースが多く、Password)による認証を行うこととした。

当センターでは以前よりパスワード認証を採用しTOTP 認証は、RFC 6238 に準拠した、時刻にている。これは公開鍵認証において、パスフレー基づくワンタイムパスワードでの認証を提供するズを設定しない利用者が一定数存在することに伴アルゴリズムである。基本的な動作は以下のとおうセキュリティリスクを案じてのことである。しりである。

かしながらサイバー攻撃の巧妙化に伴い、強固なパスワードを使った認証においてもセキュリティは十分であるとは言い難い。スーパーコンピュー
タシステムに対する大規模な不正アクセスの事案も記憶に新しく[2]、本センターが全国の研究者に

15

A1. サーバとクライアントの間で、秘密鍵が生成され、共有される。
A2. サーバとクライアントで、同じタイムスタンプを取得する。
A3. 秘密鍵とタイムスタンプを組み合わせ、かじめ、スマートフォンやタブレット等自身の端ハッシュ関数で署名を行う。
A4. ハッシュ値から特定の桁数の数値を抽出

末を用意し、秘密鍵を保管するためのし、ワンタイムパスワードとして出力す

Authenticator アプリをインストールする必要がある。

る 。 一 般 に 、 Google Authenticator 、 Microsoft

A5. クライアントから提供されたワンタイムパスワードとサーバで生成されたワンタAuthenticator といったアプリケーションが用いられる。

イムパスワードが一致するか確認する。
3-2. 初回ログイン
利用者が SQUID に対して任意のターミナルソ

2-2. 他機関が運用するシステムへの導入状況
スーパーコンピュータシステムを運用していフトで SSH 接続すると、パスワード認証の後で、る他大学・他機関にて、多要素認証の導入状況を画面に秘密鍵の QR コードおよび文字列が出力さ調査した。2023 年 6 月に発表された TOP500 [3]れる (図 1) 。このいずれかを Authenticator アプリ

において、”Academic”カテゴリとして登録されてで読み取ることで、SQUID と利用者の端末間で、いる機関が運用するシステムのうち、インターネTOTP 認証用の秘密鍵が共有される。前述のとおット上で接続方法が公開されていた上位 50 件をり TOTP 認証ではこの秘密鍵を元に、現在の時刻対象に、システムへの認証方法を集計したところ、を基準としたワンタイムパスワードを生成する。

表 1 のとおりとなった。

このパスワードは 30 秒ごとに変化し、再生成される仕組みである。なお、認証モジュールの仕組

表 1：多要素認証の導入状況
多要素認証を導入していない

多要素認証を導入している

32

18

み上、再認証は発生せず、初回ログインではパスパスワード/ 公開鍵と組み合わせる認証方式

TOTP

Push

10SMS

8

その他

8

ワードのみの認証となる。そのため、秘密鍵を生3多要素認証を導入しているシステムのうち半数以上は、TOTP による認証を取り入れている。

成した後、ターミナルを終了する仕組みとし、この段階では SQUID を利用することはできない。

次いで、利用者の端末に直接認証要求を行う
Push 認証 や利 用 者 のスマ ー ト フォン に 対 してSMS や電話でワンタイムコードを送付する SMS認証を取り入れたシステムが多い結果となった。
Push 認証や SMS 認証は、セキュリティプラットフォームである Duo Security [4] を使ったシステムが大半を占めていた。また、SSH 接続自体に多要素認証を導入していないシステムであっても、アカウントのパスワードをリセットする際に多要素認証を使用しているものもあった。なお、調査対象のシステムの中には本センターのような共同利用に相当しないものもあり、多要素認証は導入していないものの、VPN 経由でのアクセスを必須にすることで、セキュリティを担保するシステムも見られた。

図 1: 初回ログイン時 QR コード表示画面
3-3. 二回目以降のログイン

3. SQUID 多要素認証の概要

利用者が再度 SQUID に対して SSH 接続すると、本節では、SQUID 利用者の視点で、多要素認自身がアカウントに設定したパスワードに加えて、ワンタイムパスワードの入力を促すメッセージが証の具体的な挙動について紹介する。

表示される。初回ログイン時に登録した、Authenticator アプリに表示される TOTP 認証用の3-1. 事前準備
TOTP 認証を使用するにあたり、利用者はあら16

ワンタイムパスワードを入力することで、SQUIDスや、秘密鍵を登録したスマートフォンの故障・へのログインおよび利用が可能となる。

機種変更等により秘密鍵の再登録が必要となるケースである。この場合は、システム管理者にて4. 多要素認証の運用についてTOTP 認証の秘密鍵を削除することで設定をリセットし、対応している。

4-1. 運用開始前の準備について認証方式の変更から、運用初期においては利

また運用初期は、画面サイズの都合で QR コー

用者の混乱が予想された。そのため、ログイン手ドが崩れて表示される、という問い合わせも時折順については特に詳細なドキュメントを作成する見られた。QR コードが崩れて表示される場合は、ことを意識し、以下のようなことを心がけた。作ターミナルの画面サイズを変更するか、あるいは成したドキュメント [5] の一部を図 2 に示す。

QR コードとともに出力される秘密鍵の文字列を直接入力することで、Authenticator アプリに秘密-

画面キャプチャを多用すること。

-

iPhone、Android それぞれで Authenticator
アプリをインストールする段階から順を追って解説すること。

-

鍵を登録可能である。この問題については、ドキュメントを整備する他、講習会などでも話題にふれることで、問い合わせの件数は減少傾向にあり、最近はあまり見られない。

初回ログインのみの手順か、次回ログイン以降も必要な手順かを明記すること。

-

日本語と英語両方で出来る限り同じレベルの解説を行うこと。

また、初心者を対象とした講習会においては、ビデオを ON にして、講師のスマートフォンの画面を写し出し実際に QR コードを読み込んでワンタイムコードを取得することを実演する等、時間を十分にかけて、利用者の目線で説明することを重視した。
図 3: 多要素認証に関する問い合わせ件数 (2021 年度)

図 2:ログイン手順のドキュメント
図 4:多要素認証に関する問い合わせ件数 (2022 年度)

4-2. 運用開始後の反響・問い合わせについて
運用当初は、多要素認証に慣れない利用者か

4-3. TOTP 認証のリセットについてらいくつかの質問があったものの、大きな混乱はTOTP 認証をリセットし秘密鍵を再登録する場見られず、現在に至っている。運用開始月である

合は、SQUID 上の既定のディレクトリに置かれ2021 年 5 月から 2022 年度末までの多要素認証にた秘密鍵を削除する必要がある。この作業は、シ関わる問い合わせの件数を図 3 および図 4 に示す。

ステム管理者が手作業で実施しており、次のよう運用初期から現在にかけて、問い合わせのなフローで実施している。

90％以上は秘密鍵の登録 (QR コードの読み取り)

B1. 利用者からシステム管理者宛にメールやを行わずに、うっかり画面を閉じてしまったケー

WEB フォームを通して TOTP 認証をリセットすることの依頼がある。

17

B2. 身元確認として、依頼に書かれたメールア

TOTP 認 証 に 対 応 で き て い な い こ と が あ り 、ドレスとアカウントが、SQUID に登録さSQUID に対して利用できない。こうしたアプリれている利用者情報と合致していることをケーションを利用している方から相談を受けた際確認し、秘密鍵を削除する。

は、研究の進捗へ影響や緊急性を考慮・審査し、B3. アカウントに設定されているパスワードをもらうことで、期間限定の例外として多要素認証リセットする。
B4. TOTP 認証 秘密鍵の再登録と、パスワードアカウントを窃取した第三者による TOTP 認
証リセットを防ぐため、アカウント所有者の身元確認として”B2”においてメールアドレスを確認することとしている。とが明示的に示される。
-

多要素認証を除外することでセキュリテ
ィは、利用者自身で責任を持つこと。

-

パスワードを強力なものにすること。他人と共有しないこと。

4-4. その他の問題点について発生件数は少ないが、利用者の操作によりSQUID 上に秘密鍵が正常に生成されないケースがある。具体的には以下が該当する。
初回ログインの途中で、画面を削除するなどの操作を行い、ターミナルを強制終了した場合-を限定的に解除する。ただし、誓約書には以下の内容を盛り込み、あくまで特例的な措置であるこの再設定を利用者に依頼する。

-

問題ないと判断される場合は、誓約書を提出して-本センターの判断で多要素認証を再設定する可能性があること。

現状、あくまで例外として 1 グループでのみ、そのような対応を実施しているが、今後同様の相談が寄せられ、対応件数が増えた場合に根本的な解決策を検討する必要がある。
この他、講習会用に配布する無料のアカウン

秘密鍵を保管するディレクトリのあるフトについては、同様に多要素認証の設定を解除しァイルシステムにおいて、利用者の Quotaている。アカウントの有効期間が 1 週間と限定的が超過している状態で手続きをした場合であること、認証に手間取ることで講習会の進行

SQUID では、秘密鍵を登録するための QR コードを表示した後に、既定のディレクトリ配下にに影響する可能性があることを鑑み、このような運用としている。

秘密鍵が生成される、といった処理順になっており、上記のケースでは利用者の Authenticator アプ
リには秘密鍵が登録された状態になっているもの

5-2. TOTP 認証のリセット時の身元確認の厳密性の、SQUID 側では秘密鍵が存在しない状態とな

TOTP 認証をリセットする際は、リセットを依ってしまう。こうしたケースでは、WEB ミーテ頼した者の身元確認が必要不可欠である。前述のィングで利用者の画面を見ながら問題を確認する

とおり、本センターではメールアドレスのみで身ことで解決できたものの、時間を要した。

元確認を行っている。一方、本センターと同様にTOTP 認証を取り入れたスーパーコンピュータシステムを運用するケンブリッジ大学においては、

5. 今後の課題

TOTP 認証のリセットを実施する際に、ビデオ通話を実施した上で公文書や教職員証の提示を求め、

5-1. 多要素認証に対応できないケース
一般的な利用の範疇では問題ないのだが、多身元確認を実施しており、本センターと比べより要素認証に対応できないケースはまれに見受けら厳密な運用を行っている [6] 。本センターでも同れる。例えば、利用者のローカル PC 上に立ち上様の運用をとることは可能かもしれないが、サーげた解析用アプリケーション (※一般的なターミビスの利便性や迅速性、リセットに対応する人員ナルソフトではなく、解析から可視化までを行う数を鑑みると、現在よりも厳密な運用にすることアプリケーションを指す) から、直接スーパーコは容易ではなく、今後もより良い方法を検討してンピュータに接続してジョブ投入を行うケースがいく必要がある。

ある。このようなアプリケーションの多くはパスワード認証や公開鍵認証には対応しているものの、

5-3. TOTP 認証用の秘密鍵の統一
ここまで、SQUID にログインする場合の多要18

素認証について記述したが、SQUID の関連システムとして提供している利用状況を閲覧できる
WEB ポータルや、SQUID 利用者が利用できるデー タ 集 約 基 盤 ONION (Osaka university Nextgeneration Infrastructure for Open research and open
InnovatioN) [7] の ONION-file (NextCloud) でも多

[2]
[3]

要素認証を実施しており、同様の TOTP 認証を提供している。現状、サービスごとにそれぞれTOTP 認証用の秘密鍵が存在している状態となっ[4][5]ており、利用者は Authenticator アプリ上で、複数の秘密鍵を管理する必要があり、煩雑になる。これを共通化することで、より利便性が高まると考えられる。

[6]

また、これは Authenticator アプリ側への改善要望であるが、アプリ内において TOTP 認証用の秘密鍵(ワンタイムパスワード)をフォルダ管理・グループ管理できるようになれば、より使いやすくなると感じている。

6. おわりに
本稿では、SQUID への多要素認証の導入とその運用状況について詳細に記した。多要素認証は、セキュリティ強化のために一定の効果がある一方で、利用者にとってはメリットが見えづらく、む
しろログインの度に端末を取り出す手間が増えていることで、不便に感じる方も多いと思われる。
セキュリティ強化と利便性の間でどのようなバランスを取るべきか、今後も検討を続けていく必要がある。本稿が、他機関のスーパーコンピュータシステムにおける多要素認証の導入と運用の参考になると幸いである。

謝辞
本研究成果は、本センターのスーパーコンピ
ュータ SQUID を利用して得られたものである。
スーパーコンピュータ SQUID における多要素認
証の構築・運用にあたり、日本電気株式会社の皆様には多大なる尽力を頂いた。ここに記して謝意を示す。
参考文献[1] Susumu Date, Yoshiyuki Kido, Yuki Katsuura, Yu
ki Teramae & Shinichiro Kigoshi, “Supercomputer for Quest to Unsolved Interdisciplinary Datascie

19[7]nce (SQUID) and its Five Challenges”, WSSP 20
21: Sustained Simulation Performance 2021, pp 1-19, https://doi.org/10.1007/978-3-031-18046-0_
1
EGI CSIRT (2020), “Attacks on multiple HPCsites”, https://csirt.egi.eu/attacks-on-multiple-hpcsites/
TOP500, “June 2023”,
https://www.top500.org/lists/top500/2023/06/
Duo Security, https://duo.com/ja-jp
大阪大学サイバーメディアセンター 大規模計算機システム (2021),“Getting started guide for logging in SQUID”,
http://www.hpc.cmc.osaka-u.ac.jp/wpcontent/uploads/2021/07/how_to_login_SQUID_
en.pdfUniversity of Cambridge, “How do I reset myTOTP for SSH to CSD3?”,https://docs.hpc.cam.ac.uk/hpc/userguide/mfa.html#how-do-i-reset-my-totp-for-sshto-csd3
伊達 進, 寺前 勇希, 勝浦 裕貴, 木越 信一郎,
木戸 善之, “ONION：大阪大学のデータ集約基盤”, 学術情報処理研究, 2022, 26 巻, 1 号,
p.87-96 , https://doi.org/10.24669/jacn.26.1_87