４０３ 認証
自分の名前を記入する際、一時間以内に一〇回も連続して誤記を繰り返すことはあるだろうか？
難しい質問をされているわけではないのだから、せいぜい五回も猶予があれば十分。もしも、それ以上失敗を繰り返すとすれば、十中八九、第三者が悪意ある試行を行っている。
第三者であろうと、一致するまで試行を繰り返す総当たり攻撃を行えば、いつかは一致する。
それを認識していながら、照合を無制限に許容しているとすれば、問題である。
照合試行回数を制限することは、正当に利用している住民に、一切影響が無い防衛手段である。にもかかわらず、見過ごす合理的な理由は無い。
では、どのように制限すれば良いのか。
目的は、悪意ある試行のみを抑制すること。
悪意あるか否かの判定条件は、照合回数。
所定回数、照合に失敗した場合、照合元住所からの要求を、一定時間、例えば一時間受け付けないようにする。
ただ、一定時間、照合要求を受け付けないというのは、単に無視するというだけ。無視しているだけなので、要求回数が多ければ負荷は掛かる。
乱波の思考を考えてみよう。
目的は、照合に成功すること。達成するには、失敗すれば試行を継続し、成功すれば試行を止めるよう命令すれば良い。
照合に対し、応答した後に次の要求を投げる仕組み。
であれば、悪意ある者の待機時間を長くすることにより、要求回数を減らすことが可能。
数回試行する度に待たされ、応答が著しく遅い。
照合効率の悪さから、試行を断念しようと判断させられれば、結果的に安全性が高まる。
ただし、これだけでは不十分。侵入成功確率が下がるだけで、偶然一致すれば侵入出来てしまう。
第二の策として、MFAを導入可能な認証箇所を全て、マイナンバーとパスワードに加え、MFAコードを用いて認証する方式に変更する。
例えば元・担当者等、過去には認証を受ける正当な権限があり、マイナンバーとパスワードを知っている人であっても、MFAコードが無ければ認証出来なくなる。当該時点における部外者による侵入リスクを排除出来るメリットが大きい。
従業員用であろうと、一部でも簡素な認証で通過可能な隙を残せば、そこからの侵入を試みられるリスクが残る。例外無く全てをMFAに切り替える。
百戦百勝は善の善なる者に非ず。という名言がある。孫子の兵法第三章、謀攻篇にある、戦わないで勝つことこそが、最もよい作戦であるという考え方。戦には、必ず損害を伴うから、戦うことは次善の策。
乱波が勝手に諦めるのならば、それが最善――実際のところ、自領土が戦地になるから、乱波側に損害は発生しない。こちら側だけに一方的に攻められる状況に至る。侵攻を許した時点で負けが確定する。
ルシア帝国が二〇二二年二月二四日に開始した、エクライネ共和国への軍事侵攻のような状況になる。
だからこそ、侵攻を諦めさせられるだけの策を最優先で講じなければならない。
