無料のシングルサインオン SKUID
という名前でGMOから提供されている「SKUID」。実際にどんなものか使ってみました。（ちなみにSKUIDを最初はスクイッドと呼んでしまっていたが、スクイドと読むらしい。）
導入のプロセス
最初はとっつきにくいのですが、端的に操作を説明すると、
-
- 管理画面にユーザーを作る
- 必要があればグループも作る
- Google Chromeのウェブストアから専用のプラグイン(SKUID NG – IDaaS (Identity as a Service))を Chromeに追加する。
- 管理画面から追加したいアプリケーションを選択する。
- 自分のアカウントにアプリを追加する。
- アプリのログインパスワードを設定する。
- SKUIDの Chrome拡張機能からログインする。
と言った感じです。
無料で使えて、運営会社が大きくてっていうシングルサインオンを選択すると必然的にSKUIDになるのでは無いでしょうか。
また、シングルサインオンって何？とかシングルサインオンを試してみたい方にとっては面白いソフトウェアだと思います。
SKUIDの問題点といえば、管理コンソールにあるアプリの中からシングルサインオンをしたいものを選ばなければならないので、
自分が使っているサービスを全てSKUIDに入れることは難しそうです。
ただ、これからどんどんサービスが浸透してゆくと思いますので、徐々に使い勝手が良くなってゆくかと思います。
しばらくは使ってゆきたいと思います。
これを機にパスワードの使い回しをやめよう
シングル・サインオンで不正ログインを防ぐには、もし、様々なサービスでパスワードを使いまわしてしまっている場合、それぞれのサービスにログインするパスワードは超難しくしておいて、シングルサインオンサービス（スクイド側）で一つのパスワードを設定し、そこにまとめるというのが良いみたいですね。
SKUIDでは、パスワード生成ツールもついているので簡単に強力なパスワードを作成することができます。Chromeを立ち上げた状態で右上のえんじ色のイカのマークを
クリックすると左上にジッパーのアイコンがありますので、そこからパスワード生成ツールへアクセスすることが可能です。
使えるアプリがどんどん増えています。
skuidにログインしたらこんな画面になっていたので、これはと思い使えるアプリの数を確認してみたのですが、本日（2017-12-23）の時点で2,204個に増えていました。中を眺めても有名なアプリが沢山追加されています。一週間前は、それほど自分が使っているアプリが見つけられなかったのですが、本日の時点では、「あっ僕、これも使っていたな、登録しよう！」と言った感じで幾つか登録しましたが、あまりにも使っているアプリが多すぎたので、途中で飽きてしまうほどでした。このペースなら、自分が使っているアプリの殆どをスクイドで賄えそうな気がしてきました。また、業務でも使用を開始したので、チームでの使用感をレポートしたいと思います。
登録してほしいアプリのリクエスト機能を発見！
SKUIDの中に登録したいアプリが無い場合、次の方法でリクエストすることができます。
可能な限りサインオンはシングルにしたいので、どんどん投稿しましょう！ちなみにリクエスト済みのアプリも見ることができるのですが、一人でいくつものアプリ登録申請をしている勇士が何人かいました。こんな人が居てくれれば、あっという間にそこら中のアプリが登録されそうですね。
公式ウェブサイトにアクセスする
まずは公式ウェブサイトにアクセスします。
上部のグローバルメニューに付いている「対応アプリ」をクリック。
アプリケーションをリクエストしよう！
「対応アプリ」のページから念の為、自分の登録されているアプリが無いか検索し、無ければ、そのページの下部についているリクエストフォームから連携して欲しいアプリを登録しよう。
自分の連携して欲しいアプリが、すでにリクエストされているかも確認できるので、まずはそちらでも検索してからお願いするのが良いかとおもいます。
IDaaS（Identity as a Service）ってなに？
アイデンティティー アズ ア サービス とはクラウド型のID管理サービスを指します。
通常、パスワードの管理などは、ローカル環境で保管するのが一般的と思われてきましたが、昨今のクラウドサービスの浸透により、サービスはクIDはローカルの管理ですと相性が悪く、都合の悪いシーンが増えて来ると思います。
そこで登場したのが、SKUIDなどのクラウド型ID管理サービスです。ID管理をクラウド化することによって、たとえローカルのPC端末がクラッシュしたとしても、SKUIDのログインパスワードさえ覚えておけば、業務に支障をきたすことが無くなりそうです。
不正ログインの現状
不正ログインは2年で約3倍に増えています。メディアで取り上げられることも多く今後も増えてゆくと予想されます。
具体的に起きた問題
- 芸能人のSNSに無断でログインした会社員が逮捕された事件
芸能人のSNSに無断で238回不正にアクセスし電話帳や写真などのプライベートな情報を盗み見た事件。根本原因は、公開情報から推測できるパスワードを芸能人が設定していた事。（誕生日や名前などを組み合わせた単純なパスワードの設定をしていたことと言われている。） - Lindedinのリスト漏洩事件
ビジネス系のSNS「linkedin」の個人情報が流出した。流失したパスワードの設定ランキングを見てみると、1位 123456 2位 linkedin 3位 password 4位 123456789 5位 12345678 など単純なパスワードを設定している人がとても多い。 - 退職した社員による不正アクセス
退職した社員による不正アクセスがあった。過去の会社の情報から新しい顧客への営業活動などに使用していた模様。
根本原因は、退職した社員のID管理に問題があった。退職者が出た場合の退職フローに問題がないか再確認する必要がある。定期的なパスワードの変更なども有効であるが、パスワードの変更も一文字しか変更しないなどの運用がされてしまうので最近では無意味ではないのかという議論が出ている。また、一つのIDを使いまわししてパスワードの共有をするような運用を避ける必要性もある。
パスワード設定時の工夫
文字列の少ないパスワードの危険性
文字列が少ないパスワードを設定するとブルートフォースアタックにより突破される可能性が高くなる。
ブルートフォースを直訳すると「強引な」という意味になり、力技で総当り攻撃することを言います。プログラムにより総攻撃をかけるので、文字列が少ないと組み合わせ数が少なくなるのでヒットしてしまう可能性が高くなる。パスワードではなくパスフレーズという考え方もありパスをフレーズ調に長文にすることが大事である。
リバースブルートフォースアタック
パスワードのセットを用意し、アタックするメールアドレス側を総当りにする攻撃方法。簡単なパスワードを設定していると突破されやすい。
パスワードの文字列の解読時間
パスワードの文字列を増やす重要性を考えるにあたって、パスワードの解読にどれぐらいの時間がかかるかを記載します。例えばパスワードが6桁の場合はたった54日で解読されてしまうが、パスワードの桁数を8桁にするだけで1000年かかると言われている。パスワードの文字数を8文字以上に設定することでセキュリティーを大幅に上げることができる。また、複数の文字種を使用することもセキュリティーを上げる方法の一つである。
パスワードの使い回しによる危険性
調査結果として56.7％の人が同一のパスワードの使い回しをしているという。人間の記憶には限界があるためどうしてもパスワードの使い回しは発生しがちになってしまう現状がある。
リスト攻撃という攻撃方法
パスワードを使いまわしていると、一つのサービスで漏洩したパスワードを使って他のサービスのアタックに利用されてしまう。利用しているクラウドサービスの一つでも突破されてしまうと、他のサービスに総当り攻撃される可能性がでてくる。
外部環境の変化
クラウドサービスが広がってきている背景があり、守らなければならない環境が変わってきている。クラウドサービスを社員が利用することで職場が社内に限定されなくなってきている。また、グローバル化が進んでいるため海外からのアクセスが増えてきている。
いままでは社内の情報を守ればよかったが、今の時代は情報が社内にあるとは限らない時代になってきている。
パスワードの管理方法
IPAの調査によるとパスワードの管理は手帳に記載している人が53.6％で一位となっている。ちょっと前までは記憶で管理するが1位だった。
これを見ても、業務で利用するサービスが増加していて記憶では管理しきれない現状がうかがえる。
紙へのメモをする際の注意点
紙へのメモで注意する点は記録した紙の紛失やショルダーハックと言われる肩越しからの目視によるパスワードハッキング。これらに対処するための方法として、紙にそのままパスワードを記載しないことが有効。例えばパスワードの最初の文字を書かないとか、パスワードの文字列の中に余計な文字を加えるとか、そのまま使用できないように工夫しておく必要がある。
パスワード管理ツールの利用
パスワードを管理するために専用で開発されたツール。記憶では2〜3個のパスワードを覚えるのが限界なので、このようなサービスを利用する必要が求められて来ている。
クラウドタイプのID、パスワード管理ツールは IDaaS（アイダース） などと呼ばれる。
IDaaS アイダース（skuid）の特徴
skuidを利用することで何ができるかをまとめました。
シングルサインオン
シングルサインオンを利用することで複数のサービスへアクセスするのに一度の認証で済むようになる。使用するパスワードが一つで良くなるので複数のパスワードを覚える必要がなくなる。
ID管理機能 管理者が管理できる。
システム管理者はIDは管理するものの、パスワードの管理はユーザーに任せる必要がでてくる。また対象の社員が退職した場合、それぞれのサービスのアカウントに対してIDの削除などを行う必要が出てくる。スクイドを使うことで、SKUID自体へのアクセスをストップ・変更することで、部署変更時 退職者のIDを一括で管理することができる。
アクセスコントロール機能
グループ管理機能により、個人がアクセスできるサービスを制御することができる。
ログ・レポート機能
パスワードの変更履歴を管理することで、利用者のパスワード管理を確認することができる。またログインしていない無駄なサービスを知ることにより不要なライセンス契約を排除することができる。アクセス失敗の履歴も確認できるので不正アクセスの発見にもつながる。