---
# System prepended metadata

title: Chapter13-2　「ユーザ認証とアクセス管理」
tags: [基本情報技術]

---

# Chapter13-2　「ユーザ認証とアクセス管理」
## 6/27(日) 
###### tags:`基本情報技術`



さつき：

> ユーザ認証を行うことで、セキュリティを保ちます。

* ユーザ認証の手法
    * ユーザIDとパスワード
    * バイオメトリクス認証
    * ワンタイムパスワード
    * コールバック...遠隔地からサーバへ接続するときに、一旦アクセスして回線をきる。
そのあと、サーバ側からコールバックさせることで、アクセス権を確認する方法。
* アクセス権の設定
    * ユーザごとに権限を分ける
* ソーシャルエンジニアリングに気をつけて
    > 人の心理的不注意をついて、情報資産を盗み出す行為のこと
    * 肩越しにパスワードを盗み見たり
    * ゴミ箱をあさったり...
* 様々な不正アクセスの手法
    * パスワードリスト攻撃
    * ブルートフォース攻撃
        > 特定のIDに対して、パスワードを片っ端からすべて試す手法。
    * リバースブルートフォース攻撃 
        > ブルートフォースの逆で、特定のパスワードに対して、ＩＤを片っ端からすべて試す手法。
    * レインボー攻撃
    * ＳＱＬインジェクション
    * ＤＮＳキャッシュポイズニング
* rootkit（ルートキット）
    > 不正アクセスに成功したコンピュータに潜伏し、そのコンピュータをリモート制御できるようにするSWの集合体。 
* 過去問
    * 問１　OK
    * 問２　これは、知っておいた方がいいのかな。。OK
    * 問３　OK
    * 問４　

にわ：
- 読み込み
    * ユーザ認証の手法
        * ID＋パスワード
        * バイオメトリクス認証（生体認証）
        * ワンタイムパスワード
        * コールバック：遠隔地からサーバにアクセス→回線を切り、サーバ側から再発信（＝コールバック）→アクセス権の確認
    * アクセス権の設定
        * 読み取り、修正、追加、削除などの権限をユーザーごとに設定する
    * ソーシャルエンジニアリング
        * 人の心理的不注意をついて情報資産を盗み出す行為。
        * 肩越しにパスワードを盗み見たり（ショルダーハッキング）、身分詐称したり。
    * 不正アクセスのいろんな手法
        * パスワードリスト攻撃
            * どっかのサイトのID・PWリストを入手して他のサイトでログイン試行する
        * ブルートフォース攻撃
            * PWに使用できる文字の組み合わせを片っ端から全て試す
        * リバースブルートフォース攻撃
            * ブルートフォースの逆で、PW固定でIDを片っ端から全組み合わせ試す（複数回失敗によるIDロックがされない）
        * レインボー攻撃
            * ハッシュ力元のパスワードを解析する。
        * SQLインジェクション
            *  DBアクセスするサイトに対して、悪意のあるSQLを埋め込んで不正なデータ取得をしたり、改竄する。
            *  これを防ぐために、 DBアクセスする際はバインドパラメータ設定する
        *  DNSキャッシュポイズニング
            *  DNSのキャッシュを悪用して一時的に偽のドメイン情報を覚えさせ、偽装Webサイトに誘導する。
    *  rootkit(ルートキット)
        *  不正アクセスしたコンピュータに潜伏してリモート制御できるようにするソフトの集合体を「rootkit」という。
- 過去問
    * 問１：全部かと思った・・・
        * あ、「標的型」って点でイに絞られるのか。
    * 問２：OK
    * 問３：OK
    * 問４：OK



ちさと：
* ユーザー認証
    * システムを利用しようとしている人が誰かを確認するためのもの
    * バイオメトリクス認証（生体認証）
        * 指紋や声、眼などを使って認証するやつ
    * ワンタイムパスワード
        * 一度限り有効、使い捨てパス
        * トークンでパスを生成
    * コールバック
        * 遠隔地からサーバへ接続する場合に使う
        * 一旦アクセスして回線をきる　⇨　サーバ側からコールバックさせる（サーバに登録してある番号がコールバックした相手と一致するかで確認）
* アクセス権の設定
* ソーシャルエンジニアリング
    * 人の心理的不注意をついて情報を盗む
        * 肩越しにパスワードを盗み見
        * ゴミ箱を漁って情報を盗む
        * 身分詐称してパスワードを聞き出す　など
* 不正アクセス
    * パスワードリスト攻撃
        * 何処かのサイトから漏れたIDとパスワードを使って、他のサイトへのログインを手当たり次第に試みる
    * ブルートフォース攻撃
        * 特定のIDに対して、パスワードを片っ端から試す
    * リバースブルートフォース攻撃
        * 上の逆で特定のパス（よく使われるやつ。passwardとか123456とか。。）に対して、IDを片っ端から試す
    * レインボー攻撃
        * ハッシュ値から元のパスワードを割り出す
    * SQLインジェクション
        * ユーザー認証するときのIDとパス入れるところにSQL文を打ち込んでDBのデータを不正に取得、改ざん
    * DNSキャッシュポイズニング
        * DNSのキャッシュ機能を悪用。DNSに偽のドメイン情報を覚えさせて利用者を違うサイトに誘導
    * rootkit
        * PCに不正アクセスし、リモート制御できるようにするソフトウェアたちのこと
* 過去問
    * 問１：ウとかエは心理的弱点をついてる訳じゃないってことかな…パッとわからん問題や…
    * 問２：バイオメトリクスには身体だけじゃなく行動的特徴で認証もある
    * 問３：おk
    * 問４：おk




まい：
* はじめまして。筆記だけの参加になるかもしれませんが、これからよろしくお願いします！
    * よろしくお願いします〜！！byちさと

* ユーザ認証とアクセス管理
  * コンピュータシステムの利用でセキュリティを保つためユーザ認証を行う (ログイン、ログアウト)

* 手法
  - ユーザIDとパスワード/ いつも忘れてしまう私。大事なものだと定期的に変更が必要だし、様々なパスワードをどうやって管理したらいいんだろう。
  - バイオメトリクス認証
  - ワンタイムパスワード/ トークンというワンタイムパスワード生成器を使う
  - コールバック
* アクセス権
  * 許可された人だけが閲覧できるようにする
   - 読み取り
   - 修正
   - 追加
   - 削除
     * これらを、ファイルやディレクトリに対してユーザやユーザのグループごとに指定する

* ソーシャルエンジニアリング
  * コンピュータシステムとは関係ないところで情報資産を盗み出す行為。
  * 社員1人1人の意識レベルを改善することが大切。

* 様々な不正アクセス
  - パスワードリスト攻撃
  - ブルートフォース攻撃/ 特定のIDに対して、片っ端からパスワードの文字の組み合わせを試す
  - リバースブルートフォース攻撃/ 特定のパスワードに対して、IDを片っ端から試す。よく使われるパスワードが狙われやすい。対策→何度もパスワードを間違えるとそのIDはロックされる。
  - レインボー攻撃/ 入手したハッシュ値から元の文字列を推測
  - SQLインジェクション/ 問い合わせなどで悪意あるSQL文を埋め込み、データベースを改ざん
  - DNSキャッシュポイズニング/ DNSのキャッシュ機能を悪用して偽装ウェブサイトへ誘導したりする。
     * DNSとは？ Domain Name System 「192.168.1.1」などで示されるIPアドレスを「http://www.○○○.com」のような文字列に置き換える仕組み。

* ルートキット
  * コンピューターに潜伏し不正アクセスを手助けするツールがパッケージ化されたもの
