Recommandé
Contenu connexe
Tendances
Tendances (20)
En vedette
En vedette (8)
Pythonで二段階認証
- 2. 自己紹介 • @aoshiman • 静岡の食品会社で社内SEやってます • 会社ではWindowsサーバとかVBAとか弄ってます • Pythonは完全に趣味です • Twitterbot @cookpad_recipe とかやってます • ちなみに食品会社ですが、偽装はやっていません！！ 13年11月17日日曜日
- 3. 二段階認証を自分のブログに実装してみ た •自分のブログ Ubuntu on さくらVPS Python2.6 + Flask0.9 •毎朝、Logwatchレポートが届く •毎日飽きもせず、phpMyAdmin攻撃を繰り返されて いる ※phpMyAdmin攻撃とはPHP製MySQL管理ツール（GUI）の脆弱性を狙った飽 くなきアタックのこと 13年11月17日日曜日
- 7. 二段階認証は英語で Two Factor Authentication 調べていくと Two-step verificationという言い方もあ る（Google Authenticator のサブタイトルがそう） いくつか呼び方がありますが、深く調べていくときりが ないのでこれ以降は日本語で二段階認証、英語でTwo Factor Authenticationと呼びます 13年11月17日日曜日
- 9. 二段階認証の二段階目のバリエーション 現在の主流は何らかの方法で得た確認コードを画面に 入力させる ◎確認コードを入力させる •SMS （TwilioAPIなど） •電話（TwilioAPIなど） •パスワード発行アプリ （Google Authenticator、 FaceBookコードジェネレータ） •パスワード発行デバイス （RSA社 SecureID） •乱数表 13年11月17日日曜日 ◎確認ボタンを押す •スマートフォンアプリ
- 10. 二段階認証を採用しているサービス ◎確認コードを入力させる ◎確認ボタンを押す •Twitter（米国） •Facebook •DropBox •Evernote •Gmail •Google Apps •GitHub •WordPress •その他いろいろな銀行 •PAMもある（sshログインな •Twitter for iOS Android ど） 13年11月17日日曜日
- 11. OATHについて OATHとは http://www.openauthentication.org/ ワンタイムパスワード発行アルゴリズムの標準化を目 指して設立された団体 Initiative For Open Authtication 中心企業にVerisgin Symantec Sandiskなど ※紛らわしいが、セキュアなWebAPI認証のOAuth（オーオース）とは別 OATHが取りまとめてRFCになっている仕様が HOTP（RFC4226）An HMAC-Based One-Time Password Algorithm TOTP（RFC6238）Time-Based One-Time Password Algorithm 13年11月17日日曜日
- 12. TOTPについて 先程申し上げたとおり、OATHが取りまとめてRFC になっている仕様が HOTP（RFC4226）An HMAC-Based One-Time Password Algorithm TOTP（RFC6238）Time-Based One-Time Password Algorithm もともとはHOTPありき、それを時刻同期ベースに拡 張したのがTOTP※HOTPはカウンターベース HOTPはサーバとクライアントで回数を保持、及び同期を取る必要があるが、 TOTPはサーバとクライアントが各々正しい時刻をセットしていれば同期する必 要はない。 最近のWebサービス系二段階認証で採用されてきてい るのはTOTP 13年11月17日日曜日
- 16. TOTPを利用したワンタイムパスワード の発行 オフセットの算出とビット演算及びワンタイムパスワード算出 •算出されたHMACの最後のバイト[19]を0xfでマスク（&） •その値をオフセットとし、そのオフセットに基いてビット演算をする •ビット演算した値を10 のパスワード桁数分の乗数（6桁なら 10 ** 6）で割る •割った余りがワンタイムパスワードとなる（桁が足りなけれれば0埋め） ※Python2.7.5で確認しています 13年11月17日日曜日
- 18. Google Authenticatorを利用する Google AuthenticatorはGoogle謹製の TOTP（HOTP）ベースのパスワード発行アプリ これをユーザーに使用させているWebサービスは多い Google Authenticatorへの登録を煩わしさを軽減す るために設定値が記載されたQRコードの読み取りが できる 13年11月17日日曜日
- 19. Google Authenticatorを利用する KeyUriのフォーマット これをQRコードに埋め込んで使用 otpauth://totp/shizuokapy@example.com?secret=JBSWY3DPEHPK3PXP&issuer=Shizuokapy ① ② ③ ④ ①TOTPかHOTPを指定 ②user@domain（一意であればOK） ③シークレットコード ④発行者 その他パラメーター ※無ければデフォルト値を使用 Algorithm デフォルト SHA1 他 SHA256 SHA512 Digits デフォルト6 Period デフォルト30 13年11月17日日曜日
- 21. 二段階認証の実装時に気をつけたこと クライアント側との時間のズレを考慮する •15秒ずれているだけでも照合が不一致になる確率は50% •例えば、ユニックスタイムを -30させたパスワードも許可させる •クライアント側の時刻が進んでいる場合もあるのでそれも考慮するかどうか+30 但し、照合を甘くするとそれだけセキュリティ強度が弱くなる 6桁のパスワード 30秒間に 1/1,000,000 が 3/1,000,000になる formに入力したパスワードとTOTPのパスワードの型 を合わせる（int or str） おもいっきりハマりました。。 13年11月17日日曜日
- 24. 参考資料 RFC4226 6238 http://tools.ietf.org/html/rfc4226 http://tools.ietf.org/html/rfc6238 Flask製TFAサンプル及びデモサイト via Twilioの中の人 https://www.twilio.com/blog/2013/04/add-two-factor-authentication-toyour-website-with-google-authenticator-and-twilio-sms.html OATHによるワンタイムパスワードの仕様 http://yamatamemo.blogspot.jp/2011/05/oath-1.html http://yamatamemo.blogspot.jp/2011/05/oath-2.html http://yamatamemo.blogspot.jp/2011/05/oath-3.html Google Authenticator http://code.google.com/p/google-authenticator/ Javascriptの実装 http://blog.tinisles.com/2011/10/google-authenticator-one-timepassword-algorithm-in-javascript/ 13年11月17日日曜日