保安点検, OTP いくら安全だか?

戻る | HOME > Game About > GA最新情報

2006/10/11 17:44

※古い記事の画像は に置き換えられます。翻訳元にてご確認ください。

保安点検, OTP いくら安全だか?

NCsoft関係者, "確認されたハッキング件の中で OTP 使用者はいない"

去る 2日NCsoftが ´エンチャントハッキング特別支援´を発表したこの後ユーザー達はハッキングに対する対処から申告手続きなど各自が分かっている知識を共有して自分のアカウントを守るための努力をしている.

今度報道で扱う素材は ´OTP´だ. OTPはもう金融圏で主に使われる保安ソリューションとしてログインする度に新しいパスワードを生成するシステムだ. 去年 6月発生したインターネットバンキングハッキング事件でパスワード保安に対する検討が申し立てられながらシンハン銀行が国内金融圏で初めて取り入れた. 現在は国内金融圏で企変身バンキングに義務化されているし, 金融監督院は個人バンキングへの適用も積極検討している.

NCsoftに適用された OTPは既存金融圏の OTPが専用ハードウェアが必要だったこととは違い, 携帯電話を使う方式だ. モバイル OTPを開発した (株)イニテックの百孝誠課長は "モバイル OTPはログイン時点に使用者が携帯電話を利用してパスワードを生成するシステムだ. サーバーからパスワードを受けて来るのではなくて, 自分の携帯電話でのみ生成し出すことができる値段をパスワードで使うことだ"と説明した.

もし, パスワード体系を完璧に理解したら OTPを解読することができないか. 百課長は "逆演算が不可能な修飾だからそれは不可能だ"と言った.

百孝誠課長の OTPに対する説明

OTP 値段生成に使われる技術は ´数学´ を基本にする. ハッシュ関数(イルバングヒャング関数) 演算が基本的に使用になるのに, ここで ´ハッシュ関数´は逆演算が不可能な修飾を意味する.

もうちょっと説明しようとすると, ハッシュ関数は要約関数, メッセージダイジェスト関数とも言う. 与えられた原文で固定された長さの意思乱数を生成する演算技法だ. 生成された価格は ´亥時値´と言う. 通信回線を通じてデータを取り交わす時, 経路の両方末でデータの亥時値を求めて, 送った方と受けた方の値段を比べるとデータを取り交わす途中にここに変更が加えられたのかどうかを確認することができる.

不可逆賊な一方香函数を含んでいるから亥時値で原文を再現することはできない. また, 同じ亥時値を持った他のデータを作成することも極めて難しい. 現実的には不可能だ. こんな特性のためハッシュ関数は通信の暗号化補助手段や使用者認証, デジタル署名などに応用されている.

ここで一方香函数と言う(のは)ハム正門関数(trap door function)とも言うことで, 除数で結果を求めることは簡単だが, 結果で除数を求めることを難しい関数を意味する.

リーン OTP / NC OTPに使われるハッシュ関数は全世界数学-科学者たちが検証した SHA-1(アメリカ国家標準ハッシュアルゴリズム) アルゴリズムを採択して使っている. また, OTP 値段を生成する過程でハッシュ演算過程を多くの段階にわたって使うのに, 体系を理解する人なら ´暗号解読が不可能だ´というのをすぐ理解することができる.

ハッシュ演算は使用者携帯電話ごとにそれぞれ異なるようにセッティングされる初期秘密値(20桁数字, 文字組合値)を生成する段階から使われる. また, ログインごとに生成する OTP 価格は ´初期秘密値段´, ´現在時間補正値段´, ´生成要請回収´を組み合わせた結果を n回(番)ハッシュ演算してここで得られる結果の中で特定領域の値段を抽出して作る.

修飾表現は次のようだ.

Random N = [H(n)(初期秘密値 | 現在時間補正値 | 生成要請回収)],
OTP = Random N で数字 8個を抽出

もし ´´12344321´という OTP 値段と現在時間が分かっている´ しても特定時間に使うことができる OTP 価格は複雑なそして逆演算が不可能な演算を遂行しなければならないので分かることができないという結論を下すことができる.

8桁数字. 順次大学入学試験を通じて攻撃することができないか. 係わる質問に百課長は次のように説明した.

OTP 値段の有效時間は 1分を基本にしている. 理論的に 1分以内に 00000000~99999999 までの値段を代入することができると Brute Forse 攻撃が成功することができる. 高性能システムを利用して 1分以内に数字を順次に代入して見る試みに対しては 1分に最大 90, 000 回(番)まで認証要請を受けることで防御している.

数学的に考えをすると言った時, 1分という時間的制約状況で Brute Forse 攻撃を通じて 8席のパスワードを合わせるということは 90, 000/100, 000, 000 = 0.00009 % 確率の外に出ない. 1分が経って生成される OTP 増えた再び 00000000~99999999で捜さなければならない. 累積演算は無意味だ.

もちろんこれは攻撃者が最適の攻撃環境を取り揃えた状況での確率であるだけだ. 現実はそれよりもっと確率が低くなるので, 攻撃成功確率は 0% にほとんど近接するようになる.

海外で OTPを使っているシステムをハッキングする方法などが紹介されてはいるが, この紹介たちは他の状況的変数 (Phishing, man-in-the-middle-attack など)を土台でハッキングが可能なシナリオを作ったことであるだけだ.

百課長の説明によれば OTPの安全性は ´99.9%´と言う. 引き続き彼は残り 0.1%に対して "直接的な攻撃ではない他の攻撃方法を通じる遠回り攻撃"と付け加えた.

***模倣犯罪の可能性のため遠回り攻撃に対する具体的な言及をしないです. 本文のレスを通じて遠回り攻撃に対する言及がある場合, 警告なしに削除措置します***

実際適用事例はどうかな. OTP 導入後発生したすべてのハッキング件の中で OTP 使用者が被害を被った場合に対してNCsoftのある関係者は "今まで公式的に確認されたハッキング件の中で OTP サービスを使う顧客はいない"と明らかにした.

NC OTPはNCsoftが無料にサービスしているし, 携帯電話ダウンロードの時発生する通信料はユーザーの負担だ.

戻る | PAGETOP | HOME > Game About > GA最新情報