AWSサービスを利用した認証の実現方法

2022/2/16(水)に行われた【JJAWS-UG 初心者支部#45 AWS Builders Online Series recap3】にて発表した「AWSサービスを利用した認証の実現方法」の資料です。

Transcript

1. JAWS-UG 初心者支部#45 AWS Builders Online Series recap3
   2022/2/16
   松田　康宏
   AWSサービスを利用した認証の実現方法
   

   View Slide

2. 自己紹介
   石川県在住で東京のイースト株式会社で
   フルモートワークで勤務して１年経過
   AWSを利用して辞書検索サービスDONGRIの
   提供に携わる　エンジニアを絶賛募集中！
   金沢支部のコミュニティの運営に携わる
   ２級ファイナンシャルプランニング技能士
   （AFP）としても活躍
   趣味はランニングとボウリングと家庭菜園
   最近はKeycloakが稼働しているコンテナを
   ECS on EC2からFargateに移行するプロジェクトを進行中
   

   View Slide

3. もしよかったら
   https://www.youtube.com/
   watch?v=KNJtfqDl8g0
   https://www.youtube.com/
   watch?v=UpmijDMT71A
   

   View Slide

4. 実は今回初登壇！
   

   View Slide

5. 今日お話しすること
   JAWS-UG金沢 #76 セキュリティパネルディスカッション の紹介より
   ・金沢支部とみんなのCSIRTコミュニティの紹介
   ・認証とは何か？
   ・認証に伴うリスクをどのようにAWSサービスを利用すると低減できるか？
   

   View Slide

6. 金沢支部紹介
   

   View Slide

7. 金沢支部紹介
   石川県金沢市を中心に、1ヶ月ごとに勉強会を行っています。
   「AWSに興味のあるかた」「よりいっそう活用したい方」「使ってる仲
   間を見つけたい方」ぜひとも
   ご参加ください！次回のイベントが78回目になります。
   2019年にAWS Community Day Kanazawaを開催しました！
   

   View Slide

8. 次回イベントのご紹介
   

   View Slide

9. Copyright© 2021 みんなのCSIRT All Rights Reserved.
   　みんなのCSIRTの紹介

   

   View Slide

10. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    ● 認証って何のためのもの？

    ● 認証の方法

    ● その認証は安全か？

    　アジェンダ

    

    View Slide

11. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    ● 認証って何のためのもの？

    ● 認証の方法

    ● その認証は安全か？

    　認証って何のためのもの？

    

    View Slide

12. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　認証は何のためのもの？ -> 直接会えば確認できる

    こんにちは ボブ だよ
    判断できる

    ↓

    ボブに間違いない

    ボブだわ

    

    View Slide

13. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    君の友だち

    　認証は何のためのもの？ -> ネット経由では分からない

    コンニチハ ボブ ダヨ
    僕はボブ

    　　　　　I’ｍ bob.
    I’ｍ bob.
    僕はボブ

    僕はボブ

    僕はボブ

    I’ｍ bob.
    I’ｍ bob.
    僕はボブ

    判断できない

    ↓

    ボブなの？

    君の友だち

    ボブ…なの？

    

    View Slide

14. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　認証は何のためのもの？ -> 利用者を識別する

    サービスにアクセス
    アカウント・パスワードを要求
    アカウント・パスワードを入力
    アクセスを許可
    サービスを利用
    誰？
    Bob
    だよ
    Ok.
    いいよ
    

    View Slide

15. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    ● 認証って何のためのもの？

    ● 認証の方法

    ● その認証は安全か？

    　認証の方法

    

    View Slide

16. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　認証の方法 -> 認証の方法

    知識認証

    所有物認証

    生体認証

    

    View Slide

17. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　認証の方法 -> 知識認証

    アカウント・パスワードなどの知識での認証

    アカウントとパスワード

    幼いころの記憶

    経験

    合言葉

    秘密

    

    View Slide

18. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　認証の方法 -> 所有物認証

    デバイス・証明書などの持ち物での認証

    SMS
    スマホ・SMS
    デバイス
    証明書
    

    View Slide

19. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　認証の方法 -> 生体認証

    指紋・静脈などの人の固有情報での認証

    光彩認証
    静脈認証
    指紋認証
    顔認証
    

    View Slide

20. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　認証の方法 -> その他 -> 画像認証(CAPTCHA認証)

    画像から情報を読み取れるか

    読める！

    ヨメマセン

    

    View Slide

21. FIDO認証
    https://www.dds.co.jp/ja/topics/9736/ より引用
    

    View Slide

22. AWSでの認証といえば（アカウント自体の認証）
    

    View Slide

23. AWSでの認証といえば（サービスとしての認証）
    

    View Slide

24. なぜ認証をマネージドサービスにすると良いのか
    ・車輪の再発明をしてもより良いものはできづらい
    （学習する目的なら良いが）
    ・保守（脆弱性への対応）が大変
    

    View Slide

25. 実際に試してみたい方は。。。。
    https://github.com/harunobukameda/AWS-Amplify-AWS-Lambda-Amazon-DynamoDB-AWS-API-Gateway-A
    mazon-Cognito
    

    View Slide

26. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    ● 認証って何のためのもの？

    ● 認証の方法

    ● その認証は安全か？

    　その認証は安全か？

    

    View Slide

27. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　その認証は安全か？ -> パスワードの管理

    password
    account
    password
    password
    Is this operation correct?
    パスワードが
    保存されたファイル
    アカウント・パスワード
    を書いた付箋
    

    View Slide

28. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　その認証は安全か？ -> パスワードの管理

    Is this operation correct?
    アカウント・パスワード
    を手帳にメモする
    password
    account
    password
    

    View Slide

29. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　その認証は安全か？ -> Basic認証

    https://ksnctf.sweetduet.info
    

    View Slide

30. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    　その認証は安全か？ -> Basic認証

    https://ksnctf.sweetduet.info
    

    View Slide

31. AWSサービスを利用した緩和策について
    Webサーバを触れないとしたら、クライアントとサーバのエンド
    ポイント間は少なくとも暗号化しておきたい。
    ・ALB
    ・CloudFront
    HTTPS HTTP
    HTTPSに対応
    できないサーバ
    HTTP
    HTTPSに対応
    できないサーバ
    

    View Slide

32. Copyright© 2021 みんなのCSIRT All Rights Reserved.
    おしまい

    

    View Slide