【IBM Security Verify】パスワード・インテリジェンス機能を使って、辞書攻撃に対応する①

はじめに

2023年4月のアップデートで、パスワード・インテリジェンス機能管理機能とパスワード・インテリジェンス・レポート機能が実装されました。
Japan テナントはまだ機能未反映ですが、EUのテナントには機能反映されていたため、早速試してみました。

[セキュリティー] -> [パスワードの管理] -> [インテリジェンス・リスト]に設定があります。

1.機能概要

• パスワード・インテリジェンスの管理

  • 2つの機能が追加された。2つを併用することも可能。
    • 「IBM Security X-forceを利用したパスワードの利用を制御する機能」
    • 「ユーザーが定義したカスタム・リストを用いたパスワード利用の制御する機能」
  • 制御したパスワードを利用している場合のアクションが定義できる。
    • アクションは 監査　＜　警告　＜　強制　の3段階ある。強制が一番高い優先度になる。

• パスワード・インテリジェンス・レポートの生成

  • 上記パスワードインテリジェンスの動作結果をレポートする機能

2.カスタム・リストによるパスワード使用制御設定

設定できる項目はパスワードのリストデータと、2つのフローです。

項目	選択肢	補足
CSVファイル	用意したCSVファイルをアップロードする	サポートされるファイル・タイプは .CSV 1列目のデータのみ利用されるためコンマ区切りである必要はない。 最大ファイル・サイズは 500Kb設定画面では500KBと注記あるが、4MBのファイルのアップロードができた。マニュアル上は20MBと記載されている。 パスワードの最大数は 1,000,000 改行コードはCRLF comma などの特殊文字を含む値は二重引用符で囲む必要がある 1行目はヘッダーで必ずpassword を指定する。
ユーザー・ログイン・フロー	監査 メッセージでユーザーに警告します。 ログインを禁止し、ユーザーをパスワード変更エクスペリエンスにリダイレクトします。	ー
アカウントの作成、パスワードのリセット、およびパスワードの変更のフロー	監査 メッセージでユーザーに警告します。 アクションをブロックし、よりセキュアなパスワードを使用するようにユーザーに要求します。	ユーザーログインフローで、「ログインを禁止し、ユーザーをパスワード変更エクスペリエンスにリダイレクトします。」を指定した場合、「アクションをブロックし、よりセキュアなパスワードを使用するようにユーザーに要求します。」が自動的に選択される。

3.カスタム・リストの生成、アップロード

OpenWallの無償版辞書をベースに、ダウンロードしたPassword_intelligence_list.csvを更新します。
無料版には約3500件くらいのデータがあります。

https://www.openwall.com/wordlists/
https://download.openwall.net/pub/wordlists/passwords/

Password_intelligence_list_mod.csvを作成しました。

password
123456
12345
password
password1
123456789
12345678
1234567890
abc123
computer
tigger
1234
qwerty
money
~~~

ファイルをアップロードします。

リスト内に同じパスワードが含まれているとアップロード時にエラーになります。

例）123456が重複
password
123456
123456
~~~

1行目のヘッダーにあたる部分がpasswordでないCSVをアップロードするとエラーになります。

例）一行目が password ではない
123456
~~~

4.ユーザー・ログイン・フロー動作確認

カスタム・リストを利用して、各アクションごとにどのような画面が表示されるか確認しました。
※動作検証のため、IBM Security Verifyのパスワード要件はパスワードの長さ：8桁のみに設定しています。

アクション	ユーザー視点の画面変化	画面サンプル
監査	ユーザーの見た目の変化はなし
メッセージでユーザーに警告します	ログイン後にパスワード変更を促す画面が表示される
ログインを禁止し、ユーザーをパスワード変更エクスペリエンスにリダイレクトします。	パスワード変更画面が表示される。

5.パスワード変更フローの動作確認

カスタム・リストを利用して、ユーザーがパスワード変更するときに、各アクションごとにどのような画面が表示されるか確認しました。
※動作検証のため、IBM Security Verifyのパスワード要件はパスワードの長さ：8桁のみに設定しています。

項目	ユーザー視点の画面変化	画面サンプル
監査	ユーザーの見た目の変化はなし
メッセージでユーザーに警告します	パスワード変更は成功する。警告が表示される。
アクションをブロックし、よりセキュアなパスワードを使用するようにユーザーに要求します。	パスワード変更が失敗する。

6.パスワードリセットフローの動作確認

カスタム・リストを利用して、ユーザーがパスワードリセットするときに、各アクションごとにどのような画面が表示されるか確認しました。
※動作検証のため、IBM Security Verifyのパスワード要件はパスワードの長さ：8桁のみに設定しています。

項目	ユーザー視点の画面変化	画面サンプル
監査	ユーザーの見た目の変化はなし
メッセージでユーザーに警告します	パスワード変更は成功する。警告が表示される。	※パスワードリセットURLにアクセスするまでの画面遷移は割愛します。
アクションをブロックし、よりセキュアなパスワードを使用するようにユーザーに要求します。	パスワード変更が失敗する。	※パスワードリセットURLにアクセスするまでの画面遷移は割愛します。

最後に

次回は、IBM Security X-forceを利用したパスワードの利用を制御する機能を確認したいと思います。

5/11 更新

• 【IBM Security Verify】パスワード・インテリジェンス機能を使って、辞書攻撃に対応する①
• 【IBM Security Verify】パスワード・インテリジェンス機能を使って、辞書攻撃に対応する②
• 【IBM Security Verify】パスワード・インテリジェンス機能を使って、辞書攻撃に対応する③