■

昨日の続き
セキュリティーをどうやって確保するのかって問題

前提

• ふつーのLAN環境は本気の各種攻撃から大切なデータを守るには弱い
• それ以前にデータを流出させるのは内部犯行の方が多い
• 本当に守らなければいけない情報は各種データ全体のほんの一部
• 大抵の環境はIDとパスワードを知っていれば入れる

ということは最低でも・・・

• トレーサビリティがしっかりしていること
• IDは固定でもパスワードが高いレベルで保護されていること

が必要だと。

ということで、まこたんがふと思いついた最強のパスワードマネージャ

• 基本的にLDAPサーバでパスワードの管理をする前提
• パスワード照会などでサーバにはAPIアクセスが可能
• パスワード照会時の通信は暗号化した状態のものを送り、クライアント側で復号化する
• APIアクセスの時にはユーザのパスワードは送らない
• クライアントの認証はパスワードと共に指紋などが必須
• 管理しているパスワードは1日24回の頻度で自動で変化(設定で変えれる)
• 管理している全てのパスワードとパスフレーズはギリギリまで暗号化した物を利用
• 重要パスワード照会すると記録される＆即座に関係者へ通知が送られる
• 重要パスワード照会するとクライアント側で表示されるのは一部だけ、残りはSMS等で通知

発想の元になったのはラスベガス舞台の映画で毎日パスワードを秘書が社長に通知するってあれ。
それが毎日じゃ無くて毎時間でも良いんじゃ無いか？とか
そうすると秘書は無理なのでサービス化しないと無理だよね？とか
そうするとアクセスする度にサービスにリクエスト飛ばすからパスワード照会すると通知できるなとか
パスワードを複数個に分割してそれぞれ別経路で送れば安全性増すかなとか
そういう感じ

本当に作るとこのパスワードマネージャが攻撃対象になるわけですが・・・(^^ゞ
しかもアプリに組み込んだID/Passwordの変更はどうするんだとか色々あってまだ実現にはほど遠いのかなぁ〜って気がする今日この頃。