米国企業がパスロジのワンタイムパスワード製品検証レポートを発表

米国で第三者検証サービスを提供するトリー社は、パスロジ株式会社(本社：東京都千代田区、代表取締役社長：小川 秀治)のトークンレスワンタイムパスワード認証システム「パスロジック」が、認証製品の中でも、セキュリティ・汎用性・使いやすさの点で最高レベルであるとの検証レポートを発表しました。 現在のネットワークでは、利便性が高く、簡単に使える、ワンタイムパスワード(OTP)の導入が進んでいます。しかしながら、ITセキュリティの担当者は、簡便さとセキュリティ、メンテナンス性と運用コストがトレードオフの関係にあることに気づいています。 「OTPシステムは、パスワードシステムのセキュリティを高めることができる。しかし、高いセキュリティは、高いコストをもたらし、システム管理者の仕事を増やすことがある」とトリー社代表のトリー氏は説明し、「パスロジ社の製品は、この問題解決の布石となる」とコメントしています。 パスロジ社代表の小川は、「トークン式のワンタイムパスワードや従来のパスワードでは、ブルートフォース攻撃(総当たり攻撃)に対応するため、アカウントロック機能が必要だ。しかし、アカウントロック機能を実装すると、それ自体が今度はアカウントロック攻撃の対象となって、使用不能になる危険にさらされる。逆にアカウントロック機能が無いと、ブルートフォース攻撃にさらされることになる。パスロジックは、2要素2経路のチャレンジアンドレスポンス方式に、特許技術のワンタイムパスワード方式を組み合わせ、コストや管理者の労力を削減しつつ、このジレンマを解決している」と述べています。 パスロジ社のパスロジックは、パスロジ社製品のPatternPass1000(日本名 Passlogic-FA)で提供しています。この製品は、導入が簡単、WEBブラウザが搭載されている機器なら利用可能といったコスト性能、そしてパワフルで使いやすい認証メカニズムを提供しています。 トリー社の検証テストは2008年10月にPatternPass1000を使用して実施され、ブルートフォース攻撃・アカウントロック攻撃を防止することが確認されました。また、検証テスト実施担当者は、パスロジックがSSL/VPN環境で利便性が高いことや、Sony PSP・Apple iPhone等でワンタイムパスワードが利用できることなどを報告しています。 検証テストのハイライトは以下のとおりです。 　1．ブルートフォース攻撃とアカウントロック攻撃を通常状態時に防御すること 　2．SSL/VPNのリモートアクセスで利用できること 　3．携帯電話・ゲーム機・PDAなどブラウザ搭載機器で利用できること 　4．ハードウェアトークンを無くすことで、サポートコストや管理者の運用手間を省けること テスト結果のフルレポート(英文)は、以下のURLで見ることができます。 http://www.tolly.com/DocDetail.aspx?DocNumber=208290 ■パスロジ社について インターネットセキュリティに関する技術ライセンスを日本企業に提供する会社として、2000年に設立。同年、日本の特許考案者が所有していた「ワンタイムパスワード(パスロジック方式)」の米国特許(US6141751)を購入。2005年に日本国特許(JP3809441)を取得。2006年にVCより出資を受け、ライセンス供与から自社製品開発へと方針を変更する。資本金1億3,750万円。2007年に認証サーバ製品群を販売開始し、INTEROP TOKYO 2007でセキュリティ部門特別賞受賞。 http://www.passlogy.com ■トリー社について トリー社は世界有数の第三者検証サービスを提供する会社です。特にIT製品やサービスなどを中心に検証を実施しており、Cisco, Microsoft, IBM, Intel, Dell, HP (トリー社ホームページより抜粋)など大手IT企業から検証を委託されています。 http://www.tolly.com