ChatGPTによる「多要素認証」をテーマとした物語
ジェイクは大手ソフトウェア企業のセキュリティエンジニアで、彼の仕事は会社のデータを守ることでした。 最近、サイバー攻撃が増加しており、ジェイクは新しいセキュリティプロトコルを導入することを提案しました。
その新しいプロトコルは「多要素認証（MFA）」で、パスワードだけでなく追加の認証要素が必要です。ジェイクはMFAの導入に熱心で、会社の経営陣を覚悟しました。
導入後、社内の従業員は初めは違和感を思い出しました。毎回、アプリで生成されるセキュリティコードを入力する手間がかかりましたが、ジェイクはセキュリティの重要性を強調し、みんなが安心してサポートまでしました。
やがて、ジェイクは不審な活動を検出しました。誰かが社内システムに侵入しようとしていました。パスワードは既知のものでしたが、MFAが攻撃者を阻止しました。ジェイクとセキュリティチームは速やかに対処しましたし、被害を極力抑えました。
しかし、攻撃者は簡単には諦めず、次にソーシャルエンジニアリングを試みました。ジェイクは従業員に、絶対にセキュリティコードを他の人に教えないように忠告しました。挑戦が実を結び、社内からの攻撃は挫折しました。
数ヶ月後、別のサイバー攻撃が発生しました。 今度の攻撃者は非常に見事で、ジェイクと彼のチームは陰謀的な戦略に略々に決着しました。 攻撃者は社内従業員の立ち入りを悪用し、アカウント情報を手に入れました。
しかし、MFAは一旦停止しました。アカウントにアクセスしようとしても、セキュリティコードが必要でした。攻撃者は挫折し、ジェイクのチームは攻撃を阻止しました。
ジェイクは会社にMFAの導入が正しい決断だったことを証明し、セキュリティの守護者としての役割を遂行しました。多要素認証は攻撃者からデータを守り、組織を安全に守る重要なツールである彼の努力と努力によって、組織のデータは安全な状態を維持しました。
【注】この物語は、生成AIのChatGPTで作ってます（表題は「はてなブログ」のAIアシスト機能を使いました）。明らかな表記ゆれがある部分は、修正しています。
感想
今回は「多要素認証」を題材にした物語をChatGPTに生成してもらいました。
現代の企業のセキュリティエンジニアが奮闘するお仕事系の作品になっています。
組織がセキュリティ対策の強化に向けて、二段階認証を導入するオーソドックスな内容です。
この物語で、多要素認証についての説明は、下記の一文があるだけです。
その新しいプロトコルは「多要素認証（MFA）」で、パスワードだけでなく追加の認証要素が必要です。
この説明だけだと、認証要素そのものに関する理解が無い人にとっては、読んでも意味が分からないと思います。
認証要素について、補足します。
パスワードに代表される認証方式は人の記憶に依存する要素です。認証する要素としては、記憶のほか、所持 と 属性 があります。この３つを「認証の３要素」と呼びます。
| 要 素 | 認証方式の例 |
|---|---|
| 記 憶 | パスワード認証/暗証番号（PINコード）等 |
| 所 持 | 端末認証/ICカード認証 等 |
| 属 性 | 生体認証（指紋認証/顔認証 等） |
ジェイクが勤務するソフトウェア企業は、パスワードによる認証をしていました。そこに多要素認証（MFA）を導入することで、アプリで生成されるセキュリティコードを入力する手間が増えたことが書いています。
このセキュリティコードは、MFAデバイスに表示されるはずです。会社支給の専用のMFAデバイスを使うか、個人所有のスマートフォンを電話番号に紐づけすることで、MFAデバイスとして使うかの説明はありません。いずれの場合も、その人が所持している機器を使った追加認証となります。
「記憶」と「所持」のふたつの認証要素を使っているので、多要素認証が成立します。
多要素認証（MFA）とは、PCやサーバーへのアクセス時やクラウドサービスへのログイン時などに、2つ以上の「認証要素」によって行う認証を指します。
ChatGPTが生成した多要素認証の物語で、ユニークだと感じたのは、攻撃者がソーシャルエンジニアリングにより、セキュリティコードの情報搾取を狙ったことです。
ソーシャルエンジニアリングは、人間の心理的な隙やミスにつけ込んで、秘密情報を盗むという行為を指します。
ジェイクは従業員に、絶対にセキュリティコードを他の人に教えないように忠告します。
しかし、この忠告は残念ながら効果は期待できないと思います。物語でソーシャルエンジニアリングに目をつけたのは、面白い視点ですが、MFAデバイスに表示されたセキュリティコードを他人に教えるのはそもそもありえないでしょう。ITと縁のない会社なら、教える可能性もゼロではないかもしれませんが、ジェイクが勤めているのは、ITの本流である 大手ソフトウェア企業です。ソフトウェアエンジニアであれば、「他人に教えない」程度の情報セキュリティリテラシーは、持ち合わせているはずです。
ソーシャルエンジニアリグ対策として、セキュリティコードを他人に知られないために有効なのは、コードを他人に教えないことではなく、コードが表示されたMFAデバイスを肌身離さず持ち歩くことです。
MFAデバイスを導入している会社は、システムへのログイン時の手間を省くため、机のうえにMFAデバイスを置いている従業員が多数です。トイレや会議や休憩やランチなど、席を外す際、従業員がMFAデバイスを持ち歩かなければ、その隙をついて、攻撃者がシステムに不正ログインを試みて、MFAデバイスに表示されたセキュリティコードを「のぞき見」する可能性があります。
攻撃者が勝手にのぞき見をすることで、機密情報を得ることを「ショルダーハッキング」と呼びます。
ショルダーハッキングをさせないため、ジェイクは従業員に「席を外すときは、パソコンの画面をロック状態にして、MFAデバイスを持っていくこと」を忠告するべきです。
