はじめに

こんにちは！！！

Laravelと情報処理安全確保支援士（セキスペ）を勉強中のIT初学者です。

本記事では、作成して思ったことを共有させていただきたいと思います。

作ったもの

概要: サーバーから送られてくる「チャレンジ」を利用し、フロントエンドでユーザーが入力した「パターン」を使って「レスポンス」を作成・送信し検証する

詳細はこちら（Github） : Laravel Challenge-Response Auth

パターン認証風のデモアプリの作成を通じて、「文字のパスワード」 の方が良いなと感じました。

パターン認証の場合、画面上に 「認証パターン」 を表示する必要があります。（消したらマトリクス認証？みたいな感じになのかも）

input type="password" にすれば、ブラウザは文字を •••••••• と黒丸に変換
- →後ろから見ても文字数しかわからない
- →スクリーンショットを撮られても黒丸しか写らない

当初は、このデモのチャレンジレスポンス型の 「パターン認証」 の方が 「パスワード認証」 よりオフライン攻撃に強いと勘違いしていました。

通信を盗聴されチャレンジとレスポンスの両方を取得された場合を想定できていなかったためです。

デモアプリのパターン組み合わせ数は、合計で 約22兆通り になります。
（グリットが4×4を想定）

\sum_{k=1}^{16} k! = 1! + 2! + 3! + \cdots + 16! \approx 22\text{兆}

パスワードのパターン組み合わせ数は、合計で 約218兆通り になります。
（英大文字・小文字・数字から8文字を想定）

(26 + 26 + 10)^8 = 62^8 \approx 218\text{兆}

理由:

そもそも現在は、パスワードやパターンによる認証は推奨されませんが、

それでも、

スマホのロック解除みたいなパターン認証をWebアプリでも使いたい！！！

と思っている酔狂な方にとっては、このデモアプリ、役に立つかもです。

主要な認証ロジックはServiceクラスにまとめてあり、コピペで再利用しやすく設計してあります。

よかったらご自由にどうぞ。

リポジトリ（Github） : Laravel Challenge-Response Auth

コメントやフィードバックいただけると幸いです。