第2回 事例に見るUSBキーの利点と欠点

長谷川 晴彦
ペンティオ株式会社
代表取締役
2005/12/17

---

　USBキーの3つの弱点

　簡単かつ安価に導入でき、しかも利便性の高いUSBキーだが、セキュリティ上の弱点ともなり得る部分が潜んでいることも否定できない。ポイントは3つある。

1．USBキー紛失時の対応、復旧方法

　USBキー紛失時の対応方法は、メーカーによっていくつかの手段が用意されている。個人ユーザー向け商品の場合は、メーカーのカスタマーサポートセンターに連絡して、紛失した製品の製造シリアル番号とユーザー登録時の暗証番号を申告すると、解除キーが発行される形式だ。

　企業で一括導入している場合は、導入企業の管理者が紛失者にワンタイムパスワードを発行し、それを使ってロックを解除するという方法や、緊急用キーを作るための鍵データをあらかじめPC内に暗号化して保存しておき、紛失時にはこのデータを未使用のUSBキーに入れて合鍵とする方法などがある。だが、USBキーのないPCを入手した第三者にワンタイムパスワードを発行してしまうリスクがあるのは否めない。

　ワンタイムパスワードの安易な発行を防ぐためには、生年月日や製品のシリアルなど、本人を証明できる情報を管理者に伝え、それを基に管理者が本人を認定する仕組みが必要となる。また、ワンタイムパスワードの送付先をあらかじめ登録しておいた携帯電話のメールアドレスに限定するといった対策も考えられる。

　だが、本人認証を厳密に行えば行うほど、ワンタイムパスワードの発行やUSBキーの再発行に時間がかかり、業務に支障をきたしてしまう。利便性と安全性のバランスをどう考えるかは、企業のセキュリティポリシーによるところとなる。

2．Windowsのセーフモードでログインができてしまう

　Windowsをセーフモードで立ち上げた場合、そのままログインできてしまうUSBキーと、緊急時のワンタイムパスワードを要求してくるUSBキーがある。前者の場合もUSBキーが差さっていないとプログラムのアンインストールはできないが、キーなしでアクセスできてしまうのはセキュリティ的に弱点となり得る。

　もちろん、ロックの解除をすべてデバイスに依存して、それ以外の方法を極端に制限してしまうと、USBキーを紛失した際の復旧が煩雑になる。

3． PINの有無

　あるUSBキーはOSが立ち上がる前にPINを要求してくるのに対して、別のUSBキーはOSが立ち上がった後にそれを要求してくる。つまり、ロックをかける階層が異なっているわけだ。通常の利用をしている限り、どちらのUSBキーでも問題は発生しないが、悪意を持った第三者にPCが渡った場合を想定すると、やはりOSそのものの起動を制御している製品の方が安心感はある。

　基本的にはPINの入力を求めるUSBキーの方が、PCを紛失した場合などの安全性は高い。だが、企業によってはPIN管理の煩雑さを嫌って、PIN入力なし、USBキーの抜き差しだけでロック／解除ができる製品を選ぶケースもある。

　そこで多くのUSBキーは、企業のニーズに合わせて認証方法を選べるようにPINの使用／不使用、誤入力の許容回数などを事前に設定できる機能を持っている。

　こうしたことを十分にリサーチし、安全性と利便性の兼ね合いを総合的に判断して、USBキーを選ぶべきだろう。

　USBキーとUSBトークンの機能的な違い

　さて、企業のUSBキーに対するニーズの高まりとともに、USBキーそのものもセキュアなものへと日々進化している。登場当初はパスワードの代替品だったUSBキーだが、いまではWebアクセス制御、ファイル／フォルダの暗号化機能を持った製品が登場している。

　また、USBキーの持ち主が正当な所有者であるかどうかを判定する方法も、最近ではPINから指紋認証へと移行しつつあり、これに対応した製品が展示会に参考出品されている。今回、取材したベンダでは、顔認証などの機能を持つ製品も開発しているというから、「USBキーの抜き差しによるPCの施錠」という従来の用途に加え、個人認証ツールとしても活用できる製品が生まれてくるかもしれない。

USBフラッシュメモリ データ保存・携行用デバイス PC内のデータを持ち出し・手軽に外部携行できる USBキー PCロック、自動ログオン用鍵デバイス PCの動作制御用のキーやパスワード代替キーとなる USBトークン ネットワーク経由でのユーザー認証デバイス 社内システムへのリモートアクセス、電子署名、暗号化した機密性の高いメール交換などに利用できる

USBデバイスのまとめ

　USBキーの中にはPKI対応をうたう製品も登場している。だが、前回も説明したとおり、USBキーとUSBトークンには「ICチップの有無」という決定的な違いがある。USBキーはICチップを搭載していないので、公開鍵をいったん外部に出し、PC側で判定を行う必要がある。これはPKIを使って業務を行ううえで重大なポイントになる。

　結局、現状では「USBキー＝クライアントPCをセキュリティリスクにしないためのPC制御デバイス」「USBトークン＝PKIを使った個人認証のためのデバイス」と考えておくことが、最も実情に適合した理解であるように思う。ここを混同して、限りなくUSBトークンに近いネットワーク認証の役割をUSBキーに持たせることは、セキュリティの観点からお勧めできない。

　次回は、PKI個人認証用などに使われる「USBトークン」について、今回同様に事例を交えながらレポートする予定だ。

3/3

Index
事例に見るUSBキーの利点と欠点
	Page1 身近な存在となったUSBキー
	Page2 顧客の機微情報をUSBキーで守れ 配達先住所や配達履歴をUSBキーで守れ
	Page3 USBキーの3つの弱点 USBキーとUSBトークンの機能的な違い

USBデバイスとセキュリティ 連載インデックス

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）