第三者を用いた認証情報発行時の不正発行を防止するシステムアーキテクチャ

摘要

近年，Webサービスからユーザの認証情報（パスワード等）が漏洩する事件が発生している．そこで，筆者らはサーピサがユーザの認証情報を保有せずにユーザを認証できるMILAGRO-MFAという認証システを提案している．しかし，現行のMILAGRO-MFAにおけるユーザ秘密鍵の発行方法では，サーピサが所有する鍵でユーザ秘密鍵の発行依頼を行う必要がある．そのため，攻撃者がサーピサから鍵を取得できれば，攻撃者はユーザ秘密鍵を自由に発行できてしまう．本稿では，ユーザ秘密鍵を発行する際に，サーピサとは独立してユーザ秘密鍵の発行依頼を行う「発行依頼局」を新たにフローに導入する．そして，サーピサと発行依頼局が発行を依頼した場合にユーザ秘密鍵が発行される新しいシステムアーキテクチャを提案し，その安全性について考察する．