【ITニュース解説】その不正ログイン対策は抜けるのか？　「突破されない」認証設計の10原則

システムエンジニアを目指す皆さんは、日々の生活で様々なWebサービスやアプリケーションを利用しているだろう。ログイン画面でIDとパスワードを入力し、サービスにアクセスするのはごく当たり前の行動になっている。しかし、この「ログイン」という行為の裏側には、ユーザーが安心してサービスを利用できるよう、さまざまなセキュリティ対策が施されていることをご存知だろうか。今回取り上げるニュースは、まさにこの「不正ログイン対策」の重要性とその設計のあり方について深く掘り下げた講演内容だ。

ITmedia Security Week 2025 夏において、日本ハッカー協会の代表理事である杉浦隆幸氏が「この設計、抜ける。―不正ログイン実行者が狙う“緩いポイント”―」と題した講演を行った。講演のタイトルからもわかるように、これは単に「不正ログインを防ぐ」という表面的な話に留まらない。不正ログインを試みる攻撃者、つまりハッカーの視点から、システムにどのような「甘い点」があるのか、どこが狙われやすいのかを具体的に指摘し、それを踏まえた「突破されない」認証設計の10原則が語られたという。これは、システムを開発する側にとって、非常に重要な視点を提供するものだ。

なぜ、攻撃者の視点がそんなに重要なのか。それは、システムを開発する私たちは、どうしても「正しい使い方」を想定して設計してしまう傾向があるからだ。しかし、攻撃者は「正しい使い方」ではなく、「不正な使い方」や「システムの隙」を探してくる。例えば、認証画面を設計する際、正しいIDとパスワードが入力されればログインできる、と考えるのは当然だが、攻撃者は何度もIDやパスワードを試すかもしれないし、他の場所から漏洩した情報を利用するかもしれない。あるいは、ログイン処理の裏側で動いているプログラムの脆弱性を突いて、正規の認証プロセスを経ずにアクセスしようとする可能性もある。杉浦氏の講演は、こうした攻撃者の思考パターンを理解し、彼らが狙うであろう「緩いポイント」を事前に潰しておくための設計思想を提示していると言える。

「突破されない認証設計の10原則」という言葉から推測されるのは、認証の仕組みを多角的に、かつ徹底的に強化するための具体的な指針だろう。例えば、パスワード管理一つとっても、単純にパスワードを設定させるだけでなく、強度を強制したり、定期的な変更を促したり、さらにはパスワード以外の要素を組み合わせた「多要素認証」を導入したりといった対策が考えられる。多要素認証とは、パスワードだけでなく、スマートフォンに送られるワンタイムパスワードや生体認証などを組み合わせて、より強固な認証を実現する仕組みだ。もしパスワードが漏洩しても、もう一つの要素がなければ不正ログインは防げる可能性が高まる。

他にも、認証設計における「緩いポイント」として考えられるのは、例えばエラーメッセージの表示方法だ。ログイン失敗時に「ユーザーIDが存在しません」や「パスワードが違います」といった具体的なメッセージを出すと、攻撃者はどちらの情報が誤っているのかを知ることができ、攻撃の足がかりを与えてしまう。そのため、多くのシステムでは「ユーザーIDまたはパスワードが正しくありません」といった曖昧なメッセージに留めている。これも、攻撃者に情報を与えないための設計上の工夫の一つだ。

また、短時間に大量のログイン試行を繰り返す「ブルートフォースアタック」と呼ばれる攻撃を防ぐために、「レートリミット」という仕組みも重要になる。これは、一定時間内に何度もログインに失敗したユーザーを一時的にロックしたり、次のログイン試行までの間隔を長くしたりするもので、システムへの過度な負荷を防ぐとともに、不正な試行を阻止する効果がある。このような、悪意ある操作を想定した設計は、セキュリティを考慮する上で不可欠な要素となる。

さらに、一度ログインが成功した後も、そのセッション（ユーザーとシステム間の通信の継続状態）が安全に管理されているかどうかも重要だ。セッションハイジャックなどの攻撃を防ぐためには、セッションIDの予測不可能性、セッションの有効期限、HTTPSによる通信の暗号化などが徹底されている必要がある。これらの細かな点まで、攻撃者は常に抜け道を探している。

システムエンジニアを目指す皆さんにとって、この講演内容は、単に最新のセキュリティトレンドを知るだけでなく、開発に対する根本的な姿勢を再考させるきっかけとなるだろう。システムの機能を実装する際、常に「この機能は悪用されないか？」「このデータは安全に扱われているか？」というセキュリティの視点を持って取り組むことが求められる。それは、リリースされたシステムがユーザーに信頼され、安心して利用され続けるための土台を築くことに他ならない。

セキュリティは、一度対策を講じればそれで終わりというものではない。攻撃手法は日々進化し、新たな脆弱性が見つかることもある。そのため、システムを開発し続ける限り、常に最新の脅威に目を向け、自身の設計や実装が本当に「突破されない」ものになっているかを問い続ける必要がある。杉浦氏が提示した「10原則」は、そのためのチェックリストや指針として活用できるだろう。将来、皆さんがシステムエンジニアとして活躍する際、この「攻撃者の視点」を忘れずに、より安全で信頼性の高いシステムを世に送り出すことを期待する。セキュリティはシステムの信頼性を左右する最も重要な要素の一つであり、その設計の巧拙がサービスの成否を分けると言っても過言ではない。