ヤフーと産業技術総合研究所は、パスワード相互認証プロトコルによるあらたなフィッシング詐欺防止技術を共同開発した。2007年度中に「Yahoo!オークション」上で実証実験を行う予定。
今回開発されたのは、クライアントとサーバの間でパスワードの相互認証を可能にする暗号認証技術「PAKE」をもとに開発したフィッシング詐欺対策技術。
両者はプロトコル設計を行った上で、PAKEの技術を活用しながらウェブの標準プロトコルであるHTTPおよびHTTPSへ適用。サーバーモジュールとブラウザ拡張機能を試作した。システムでは、サーバとクライアントが相互的に認証し、ユーザーがパスワードを入力しただけで認証だけでなく、サイトの真偽性を確認できる。
ユーザーが入力したパスワードは暗号化され送信、またサーバ側からも事前に登録されたパスワードを暗号化して送信され、それぞれが正しいパスワードか確認することで真偽性を検証。暗号化によりパスワードの盗難を防止するほか、プロトコルにおいて暗号化の際にドメイン名を利用するよう設計されており、中間者攻撃についても防御できるという。
またユーザー名とパスワードの入力欄は、偽サイトが入力欄を偽装することができないよう、ブラウザのツールバー領域に設けた。入力してボタンをクリックし、本物のサイトであれば緑色に表示される。ヤフーでは、2007年度中に「Yahoo!オークション」上で実証実験を行う予定。
（Security NEXT - 2007/03/27 ）
ツイート
PR
関連記事
多賀城市のサイトが2度にわたり改ざん - 現在は復旧
テレ東子会社の通販サイトで個人情報が閲覧可能に
マカフィー、エージェントレスで仮想マシンをウイルスから保護 - リソースや負担軽減を実現
アプリ紹介サイトやブログが勧めるAndroidアプリにも注意を - IPAが呼びかけ
「Facebook解約します」と騙すスパム - リンク先のFacebookアプリからマルウェア感染
国内のBYODの割合は33％と海外より低め - 導入求める声は7割超
個人情報約8万件含む記録テープを紛失 - 郵便事業
来院したプロスポーツ選手の情報を病院職員がTwitterへ投稿
データ自動消去に対応した指紋認証USBメモリ「フィンガーファイブ」
JPCERT/CC、マルウェア「DNS Changer」の感染確認サイトを公開 - アクセスだけで簡単チェック
