脅かされる本人認証　はびこる奇怪論理とその考察
http://www.mneme.co.jp/data/thesis.html

　ニーモニックセキュリティとかいう会社の社長が書いた、セキュリティ業界でまかり通っているいい加減な論理を批判的に概観した記事。後半になるとやや重箱の隅をつつくような議論も出てきますが、超おもしろいです。おすすめ。

　内容を大雑把かつ強引にまとめると、こんな感じでしょうか。

• 攻撃者は脆弱な部分を狙って攻撃してくるため、システムを構成する全ての要素の中でもっとも脆弱な要素のセキュア度（こんな言葉があるかは知らないけど）が、そのシステムのセキュア度になる。従って、システムにたった一つ脆弱な要素があれば、システム全体が脆弱なものとなる。

• 最近では、高度な暗号技術を導入する、認証用の電子デバイスを利用するなど、最新技術を用いたセキュリティソリューションを各ベンダが盛んに売り込んでいる。しかし、いくら最新技術を用いたところで、システムの中でもっとも脆弱な要素をケアすることができていなければ無意味である。むしろ最新技術の導入によって安心してしまうだけ有害であるとすら言える。

• 多くのケースでは、本人認証が「システムの中でもっとも脆弱な要素」となる。

• 本人認証には、伝統的にパスワードを用いることが多いが、既に知られているとおり、パスワードには多くの問題点がある。

• それに対して、指紋認証や静脈認証等の生体認証技術が提案され、盛んに使用されるようになってきている。しかし、生体認証技術にはまだ問題点が多い（具体的にどのような問題点があるのかはリンク先の記事を読んでください）。

　全体を通じて、セキュリティ業界がいい加減な論理で顧客のためにならないセキュリティソリューションを売り捌いている現状に対する怒りと憤りが良く伝わってきます。セキュリティ業界が本当にこの文章に書かれているような製品ばかりを売っているのだとしたら、ちょっと酷いなと思ってしまうけれど、どうなんだろう。

　あと、文章の最後では長期記憶を用いた本人認証(詳しくはリンク先の記事を読んでください)を紹介していますが、これの有効性はちょっと疑問に感じます。まずショルダーハッキングの問題がありますし、個人の長期記憶の中で、本当にその人だけしか知らないような事柄というのは殆ど無いため、その人の友人や家族を連れてきたら簡単に破られてしまうのではないかと思えます。また、このような認証をするには、予め画像を認証システムに登録しておく必要がありますが、それに抵抗を感じる人も多いと思われます。