平成
24
年度
学士学位論文
Web
アプリケーションによるパスワード
運用管理システムの提案
Proposal of Web Application Password Operations
Management System
1130343
新貝 達朗
指導教員
清水 明宏
2013
年
3
月
1
日
要 旨
Web
アプリケーションによるパスワード運用管理システムの
提案
新貝 達朗
現在，Webサービスの認証を行う手段として，ユーザ IDとパスワードを組み合わせる ものが一般的である．しかし，ユーザが複数のWebサービスを利用する場合，複数のパス ワードを管理しなければならない．パスワードは個人情報などから推測出来ない複雑な 16 文字以上のものに設定しなければならない．そのため，ユーザは複数のパスワードを覚える ことができず，安全に Webサービスを利用できない．この問題を解決するために，多くの パスワードを管理するシステムが提案されている．本論文では，既存システムの問題点を挙 げ，それらを解決するシステムを提案する． キーワード 携帯電話，スマートフォン，認証情報管理システム，Webアプリケーション， パスワード管理システムAbstract
Proposal of Web Application Password Operations
Management System
Tatsuro Shingai
As a way of attesting a Web Service，the combination of user ID and the password is commonly used．If the user uses a lot of Web services，there is a need to manage multiple passwords．And can not be inferred from personal information．Users must set complex password which have more than 16 characters，Therefore, it is impossible for users to remember multiple passwords and the user can not use the Web service securely．
To solve this problem，many types of password managers have been proposed．In this paper，we review the existing problems and propose a novel password manager． key words Cellular Phone，Smartphone，Attestation information management
目次
第1章 はじめに 1 1.1 背景. . . 1 第2章 パスワード管理の既存システム 4 2.1 パスワードマネージャ . . . 4 2.2 専用アプリケーション . . . 5 2.3 OpenID . . . 5 2.4 既存方式の問題点まとめ . . . 6 第3章 提案システム 7 3.1 実装にあたって . . . 7 3.1.1 Javascriptで実装 . . . 7 3.2 提案システムの概要 . . . 8 3.3 システムの構成 . . . 9 3.3.1 認証サーバ. . . 9 3.3.2 クライアントの端末 . . . 9 3.4 システムの動作 . . . 10 3.4.1 ユーザの登録フェーズ . . . 10 3.4.2 ユーザの認証フェーズ . . . 11 3.4.3 IDとパスワードの登録フェーズ . . . 13 第4章 評価と考察 15 4.1 評価実験 . . . 15 4.1.1 実験環境 . . . 16 4.1.2 実験結果 . . . 17目次
4.2 考察. . . 18
第5章 今後の課題 19
謝辞 20
図目次
1.1 インターネットの利用者数 . . . 1 1.2 Webサービスの利用率 . . . 2 2.1 パスワードマネージャ . . . 4 2.2 OpenID . . . 5 3.1 提案システムの全体像 . . . 8 3.2 ユーザ登録フェーズ . . . 10 3.3 ユーザ認証フェーズ . . . 12 3.4 メニュー画面 . . . 13 3.5 IDとパスワードの登録フェーズ . . . 14表目次
4.1 実験Webブラウザ . . . 16
4.2 実験端末 . . . 16
4.3 実験結果 . . . 17
第
1
章
はじめに
1.1
背景
図1.1で示すようにインターネットの普及に伴い，ECサイトやソーシャルネットワーキ ングサービスなど様々なサービスが提供されている[1]．年々，Webサービスの利用人口は 増加している[2][3]．Webサービスを利用するためには，認証情報を登録しアカウントを作 図1.1 インターネットの利用者数 成する必要がある．多くのWebサービスはユーザの認証にIDとパスワードを用いている のが現状である．しかしユーザのIDとパスワードの管理に対しての意識は薄く，問題点が1.1 背景 図1.2 Webサービスの利用率 指摘されている[4][5][6]． 複数の Web サービスを利用するユーザは，それぞれのサービスごとに複数の IDとパス ワードを安全に管理する必要がある[4]．パスワードは総当り攻撃で破られにくい16文字以 上に設定する必要がある．また，文字数を長くするだけでなく辞書攻撃を回避するために， ランダムな文字列に設定する必要もある．しかし，多くのユーザは複雑なパスワードを複数 記憶することは困難という理由から，攻撃で破られやすいパスワードに設定していたり，複 数のWebサービスに同一のパスワードを設定してしいる[4]． 前者の場合，先ほど挙げた攻撃方法で破られてしまう危険性がある．後者の場合，ある Webサービスに保存されているIDとパスワードの情報が漏洩した場合，他のWebサービ スにも連鎖的に不正アクセスされてしまう危険性が高い．そこで，安全なパスワード管理を 実現するために，パスワード管理システムが提案されている．しかし，既存システムでは ユーザが利用する端末によっては，WebサービスのIDとパスワードの確認が出来ない場合
1.1 背景
がある．ユーザが利用する端末は多種多様であるため，すべての端末で安全にパスワードを 管理出来る方法が必要である．本研究では，ユーザの利用する端末に依存せず，既存のパス ワード管理システムの問題点を解決するパスワード管理システムを提案する．
第
2
章
パスワード管理の既存システム
2.1
パスワードマネージャ
ブラウザに標準搭載されているパスワード管理システムであり，多くの人が利用してい る．パスワードマネージャは，記憶させたWebブラウザのみ扱うことができ，外出先やブ ラウザに対応していない端末からログインすることができない．また，自動入力されたパス ワードは，他の人とPCを共有している場合，他の人のログインを許してしまう危険性があ る．さらに，WebブラウザではIDとパスワードを容易に閲覧出来るため，IDとパスワー ドの漏洩に繋がってしまう． 図2.1 パスワードマネージャ2.2 専用アプリケーション
2.2
専用アプリケーション
パスワード管理専用アプリケーションとして，LastPassや1Password，Roboform等が 挙げられる．これらはローカルアプリケーションで，OSごとにアプリケーションが開発さ れ提供されている．そのためアプリケーションが提供されていないOSは利用することが出 来ない．
2.3
OpenID
OpenIDとは，WebサイトのURL形式で構成されたユーザの身元確認をするためのID
である．1つのOpenIDを作成するだけで，OpenIDに対応する全てのWebサービスに面 倒な情報を入力せずともログインすることが出来る．図2.2はOpenIDのシステムの全体 像を示した物である[7]．しかし，OpenIDはWebサービス側の対応が必要となり，近年の
Webサービスに対応していくのは事実上不可能である[7]．
2.4 既存方式の問題点まとめ
2.4
既存方式の問題点まとめ
2.1章から2.3章で既存のパスワード管理システムについて挙げたが，その問題点をまと めると以下のようになる． • 異なるブラウザ同士でIDとパスワードの共有が出来ない • アプリケーションがOSに依存している • Webサービスの対応が必要である第
3
章
提案システム
本章では，2.4章で述べた既存方式の問題点を以下のように解決する． • パスワード管理システムをWebアプリベースにて提供することで，インターネットに 接続された端末でのIDとパスワードの共有を可能とする． • Webアプリベースなのでブラウザに対応することで，全ての端末においてパスワード 管理システムを利用を可能にする． • 提案システムが中継を行うことで，利用するWebサービス側の対応は不要となる．3.1
実装にあたって
3.1.1
Javascript
で実装
JavaScriptは，基本的なオブジェクト指向機能を備えたインタプリタ型の軽量なプログラ ミング言語である．JavaScriptの汎用的な部分はコア言語と呼ばれ，Netscape NavigatorやInternetExplorerなどのWebブラウザに組み込まれている．さらにWebプログラミン
グ用にウィンドウやコンテンツなどのオブジェクトも追加されている．このようにWebブ ラウザに組み込まれている JavaScriptを「クライアントサイド」という．クライアントサ イドJavaScriptを使えば，「実行可能なコンテンツ」をWebページに載せることが可能であ る．つまりWebページには，もはや以前の静的なHTMLという制限がなくなり，ユーザ とのやり取り，ブラウザの制御，HTMLコンテンツの動的な作成や動的なプログラムも含 めることが可能である[8]．
3.2 提案システムの概要
3.2
提案システムの概要
提案システムの全体像を図3.1示す．3.3 システムの構成
3.3
システムの構成
提案システムは以下の2つのシステムから構成される． • 認証サーバ ユーザの認証やIDとパスワードの管理やWebサービスへのログインのサポート • クライアントの端末 IDとパスワードの登録，編集，表示を行う端末3.3.1
認証サーバ
認証サーバの役割はユーザの認証，ユーザ情報及びIDとパスワードの管理，Webサービ スへのログインのサポートを行う．これらの機能は全てWebアプリケーションで提供され ている．サーバは常時稼動し続けている．そのため，ユーザはネットワークに接続されてお り，Webブラウザが搭載されている端末を所持していれば，多数のユーザがどこからでも 提案システムを利用することができ，場所や端末にとらわれずにアクセスすることが可能と なっている．3.3.2
クライアントの端末
クライアント端末は，ユーザがIDとパスワードの登録，編集，表示を行う．Webアプリ ケーションでシステムは提供されているため，クライアントの端末はインターネット回線が 接続されており，Webブラウザが搭載されている端末であれば良い．3.4 システムの動作
3.4
システムの動作
3.4.1
ユーザの登録フェーズ
提案システムは，多数のユーザが利用できる事を想定している．そのため，システムを利 用するにはユーザの登録を行う必要がある.ユーザ登録を行うにはまず，端末からシステム へアクセスし，メールアドレスの登録とマスターパスワードの設定を行う．その際にサーバ が発行したランダムな文字列であるソルトも同時に受け取る．マスターパスワードはシステ ムにログインするためのパスワードである．そのため，マスターパスワードは厳重に管理し なければならない．クライアントの端末でソルトとマスターパスワードからユーザを認証す るための認証データを生成し，サーバ側にメールアドレスと認証データを保存して登録が完 了する．図3.2にユーザ登録時のシステムの流れを示す． 図3.2 ユーザ登録フェーズ3.4 システムの動作
3.4.2
ユーザの認証フェーズ
図 3.3 は 認 証 サ ー バ へ の ロ グ イ ン を 示 し た も の で あ る ．図 中 の 上 の 方 に あ る MailAddress(メールアドレス)，M_Pw(マスターパスワード)，Solt(ソルト)，Pw*M_Pw(認 証データ)はクライアントが入力する情報とサーバが保持している情報を示している．シス テムのクライアントと認証サーバ間の処理の手順を説明する． 1. クライアントがMailAddressとM_Pw を入力し，MailAddressを認証サーバへ送信 する． 2. 認証サーバは認証データを生成するためのSoltをクライアントへ返す． 3. クライアントは Soltと M_Pwを用いて生成した認証データと MailAddressを認証 サーバへ送信する． 4. 認証サーバは暗号化されたパスワードのデータをクライアントに返す． 5. クライアントはM_Pwを用いて暗号化されたデータを復号し，パスワードの一覧を表示 する．図3.4は実際の表示画面である．3.4 システムの動作
3.4 システムの動作 図3.4 メニュー画面
3.4.3
ID
とパスワードの登録フェーズ
IDとパスワードを登録するためには，クライアントが登録する WebサービスのURL， ID，パスワードを入力する．新しく登録する情報を追加し，共通鍵で ID とパスワードを AESで暗号化し，データベースに保存する．図3.5はIDとパスワードの登録する手順を示 したものである．3.4 システムの動作
第
4
章
評価と考察
4.1
評価実験
本システムはJavaScriptでUIをHTMLで動的に作成し，暗号化と復号をクライアント 端末で実装している．そのため，ブラウザによって利用できない機能やクライアント端末の 性能により処理時間に多くの時間がかかる場合が想定される．この実験では，TwitterやFaceBookなどのソーシャルネットワークサービスなどのWeb
サービスのIDとパスワードの情報登録し，登録されている情報を閲覧できサイトに接続で きる事とIDとパスワードの情報を暗号化や復号する時間を計測する．
4.1 評価実験
4.1.1
実験環境
評価実験に用いるブラウザと端末は以下の表4.1と表4.2の通りである． 表4.1 実験Webブラウザ Webブラウザ バージョン InternetExplorer 10.0 Chrome 24.0 FireFox 18.02 Safari 6.02 Opera 12.14 i-modeBrowser 2.0 表4.2 実験端末 端末名 CPUの性能 MacBookPro Corei5(2.3GHz) Windows7の端末 Corei7(2.8GHz) Nexus Tegra3(1.6GHz) NTTDocomoSH-03E AG5(1.2GHz)4.1 評価実験
4.1.2
実験結果
本システムの実験結果を表4.3に示す．利用可能かどうかとパスワード一覧を表示するま での遅延で2段階の評価を行う．遅延の発生基準はシステムが実行する処理に対するレスポ ンスタイムにおいて，ユーザがシステムとの対話に集中する時間の 10秒(10000ms)とす る．これはユーザがシステムとの対話に集中する時間は 10秒が限界であることから設定し た[9]．表4.4で3段階の評価基準を示す． 表4.3 実験結果InternetExplorer Chrome FireFox Safari Opera i-modeBrowser
秒 30ms 23ms 27ms 23ms 24ms 328ms 評価 ⃝ ⃝ ⃝ ⃝ ⃝ ⃝ 表4.4 評価基準 評価 システムの利用 応答時間 ⃝ 利用可能 10000ms以内 △ 利用可能 10000ms以上 × 利用不可 ー
4.2 考察
4.2
考察
始めに，端末におけるシステムの利用可否の結果について述べる． 全ての端末の複数の Webブラウザにおいてシステムの利用が可能であった．しかし，同 一の Webブラウザでもバージョンを変更した場合，システムの一部の機能が利用出来な かった．本システムのWebブラウザ側の開発言語はHTMLとJavaScriptの組み合わせに よって構成されている．つまり，Webブラウザのバージョンにおいて，利用できない関数が ある事が考えられる．この場合，対応するには Webブラウザのバージョンごとの仕様にも 合わせた改良が必要となる．今回はそのバージョンにおいては，利用できなかった機能を除 いても問題ないと判断し，機能を除くことで対応した． 次に，システムの処理時間の結果について述べる 実験を行った端末の性能によってデータの暗号化や復号の処理時間に変化が見られた． 今回の実験環境では全ての端末において，10000ms以内にシステムの応答が行えた．しか し，20個、30個と保存するデータを増加していった場合，比較的に性能が低い携帯端末で 10000msを超える結果になった．今回の実験環境はユーザの平均のIDとパスワードの所持 数としたが，20個，30個と所持している場合も考えられる．これに対応するために提案シ ステムでは一度に全てのIDとパスワードのデータを取得を行なっているが，ユーザが選択 した WebサービスのみのIDとパスワードのデータを取得し復号を行うことで処理の軽減 を図ることが必要である．第
5
章
今後の課題
提案システムでは，クライアントの端末でのデータの暗号化と復号の処理を行う事を中心 として考えた．そのため，高知工科大学情報学群の吉田信一講師にもご指摘されたが，ユー ザの認証の際に扱うSaltデータの生成場所について問題があった．ユーザ側でSaltのデー タを生成しているため，悪意のあるユーザから保存されている Saltのデータを改竄されて 危険性がある．そのため，サーバ側でSaltデータを生成するように仕様変更を行う必要が ある．このように全ての処理に関して，行う場所を考察する必要がある． IDとパスワードのデータについては，同じ鍵でも異なる暗号結果を生成するためにSalt データを暗号化したデータの中に持たせている．提案システムでは，WebサービスのIDと パスワードをまとめて暗号化して保存しているため，問題はないと考えられる．しかし，考 察で挙げたようにユーザが20個，30個のIDとパスワードを保存している場合に対応する ため，1つの鍵で複数の暗号結果を保存する．そのため，Saltデータの保存方法について検 討するべきである．謝辞
本研究の遂行と論文作成にあたって，言葉では言い表せないほどの御指導，御助言をいた だきました高知工科大学情報学群 清水明宏教授に心より感謝し厚く御礼申し上げます．本 研究の副査を担当していただいた高知工科大学情報学群 妻鳥貴彦准教授，吉田真一講師に 深く御礼申し上げます．また，提案システム実装にご協力いただきました清水研究室の関係 者各位に心より感謝いたします．参考文献
[1] 総務省，“平成23年通信利用動向調査の結果，”2011． [2] ICT総研，“SNSの利用動向および広告活動状況に関する調査，”2011． [3] 総務省，“平成23年度版情報通信白書，”2011． [4] 総務省，“パスワードの検討と管理，”http://www.soumu.go.jp/． [5] ト レ ン ド マ イ ク ロ 社 ，“Web サ イ ト の パ ス ワ ー ド 利 用 実 態 調 査 ，”http:// jp.trendmicro.com/． [6] 平野 亮，森井 昌克，“パスワード運用管理に関する考察および提案とその開発，” 電子情報通信学会，2011． [7] OpenID.ne.jp，http://www.openid.ne.jp/.[8] David Flanagan，“JavaScriptプログラミング，”O’REILLY，1997．
[9] ヤコブ・ニールセン，“ユーザビリティエンジニアリング原論，”東京電機大学出版局，
