パスワードをそのまま保存せず、入力が正しいか確かめる

会員登録を受けるサーバーは、次回の入力が正しいか確かめる必要があります。しかし、元のパスワードを後で読み出す必要は通常ありません。利用者名とパスワードをそのまま保存すると、その一覧を読まれた時点で秘密が分かります。使い回しがあれば別サービスにも被害が広がります。データベースへのアクセス制限に加え、漏れた場合の被害を小さくする保存方式が必要です。入力を丸ごとコピーする処理では、debugInputというデバッグ用の値、ログ、バックアップにも秘密が残ります。保存してよい項目を先に決めます。OSの資格情報ファイルも、一覧形式が似ているだけで平文保存だと判断せず、実際の保存値を調べます。

ハッシュは入力から一定の長さの値を計算する仕組みです。「aで始まる単語は1」という規則ではappleもavocadoも同じ値になり、秘密の確認には使えません。「文字数を4で割った余り」でもcrewとdeskを区別できません。暗号学的ハッシュには原文を見つけにくい等の性質がありますが、値が長く見えるだけで安全と判断しません。登録時に作った検証値を保存し、ログイン時は今回の入力を同じ条件で計算して比較します。登録時の値を2回計算して比べると、今回の入力が間違っていても通ります。空文字同士の計算結果が一致することと、空文字を登録してよいことも別です。

攻撃者が検証値の一覧を手元に持つと、候補の文字を自分の機械で計算して比べられます。これはサービスへ通信せず行うオフラインの推測です。ログイン画面で10回までと制限しても、その計算には適用されません。辞書の語や短い候補を先に計算した対応表を使う方法もあります。レインボーテーブルは厳密には連鎖によって計算時間と記憶容量を調整する方式で、単純な全件の対応表とは異なります。出力が長くても、入力が11111111なら早く試されることがあります。方式の名前を秘密にするのでなく、公開されていても一候補の計算に費用がかかるようにします。

ソルトはパスワードと一緒に計算へ渡す補助の値です。同じ秘密でもソルトが違えば保存値が変わり、一つの事前計算を全員に使い回しにくくなります。方式・計算費用・検証値とともに保存し、計算へ実際に渡します。

ソルトは秘密でなくて構いません。別の場所で秘密として管理するpepperとは異なります。本番では登録ごとに十分な長さの乱数を生成しますが、この実習のdemo-salt-Aとdemo-salt-Bは、違いを再現して比べるための固定値です。固定値を本番の生成方法として使いません。ソルトがあっても推測しやすい秘密への候補照合は残ります。

ログインのたびに新しいソルトで比較すると、正しい入力でも保存値と一致しません。検証するときは、その利用者の記録から方式・費用・ソルトを読み、今回の入力へ適用します。新規登録やパスワードの変更で新しい記録を作るときは、新しいソルトを使います。方式識別子・費用・ソルト・検証値を一つの文字列にまとめる形式も、別々の列にする形式もあります。古い方式の先頭2文字の例や、$y$のような識別部分を、すべての方式の共通書式と考えないでください。

SHA-256を一回かける処理は高速で、パスワード候補を大量に試されやすいため、保存方式としては不十分です。独自の繰り返しを足すのでなく、用途に合う検証済みの方式とライブラリを使います。

今回のPython実習は専用方式のscryptを使います。PBKDF2は別の方式で、計算回数を比べる実習は本編p-13で扱います。教材の費用設定は観察のための条件です。本番では方式の推奨設定、同時ログイン時の負荷、利用者の待ち時間を別に確認します。

費用設定が古い場合も、最初は保存記録に書かれた旧設定で今回の入力を検証します。正しい入力で、かつ更新が必要な場合にだけ、新しいソルトと費用設定で記録を作り直します。認証前に更新すると、誤入力で本人の記録が書き換わります。目標回数が現在より小さい場合に、わざわざ弱い設定へ戻すこともしません。実際のサービスでは同時更新、保存の失敗、セッションの失効も別に検証します。原文を復元する工程はありません。

不可逆な検証値だけを保存しているなら、通常は以前のパスワードを取り出してメールで返せません。期限付きの回復手続きで、新しい秘密を設定する方法を用意します。一覧の漏えいでは、確認できた事実と未確認事項を分けて担当部署へ報告し、影響調査、秘密やセッションの失効、利用者への説明を進めます。通知義務は国・業種・状況で異なるため担当者が確認します。技術詳細の公開も関係者と調整します。また、安全な保存方式だけでは、入力を変換する前の端末・サーバー・偽ページでの窃取は防げません。通信、端末、アプリ、秘密を記録しないログ設計を併せて確認します。

実習のexercise.pyは二人分の同じ架空パスワードを計算します。最初は二人のソルトも同じです。二人目のソルトだけを変えて保存し、再実行します。

「同じ保存値」は二人の値が同じか、「各ソルトで再計算できる」は保存した条件で本人の照合ができるかを表します。前者がfalse、後者がtrueになる理由を説明してください。原文を取り出す処理ではありません。前の説明にある更新条件や回復は実務上の別の論点で、この実習に入力欄はありません。