論理セキュリティ

論理セキュリティは、ユーザ識別とパスワードアクセス、認証、アクセス権と権限レベルを含む組織のシステムに対するソフトウェア^[1]保護手段から構成されます。これらの対策は、許可されたユーザだけがネットワークまたはワークステーションでアクションを実行したり情報にアクセスしたりできるようにするためのものです。これはコンピュータセキュリティのサブセットです。

論理セキュリティの要素は次のとおりです。

• ユーザー ID (ログイン、ユーザー名、ログオン、アカウントとも呼ばれる) は、複数のエージェントがアクセスできるコンピュータ プログラムまたはネットワークのエージェントの一意の個人識別子です。これらの識別子は、英数字の短い文字列に基づいており、ユーザーによって割り当てられるか、選択されます。
• 認証とは、コンピュータ プログラム、コンピュータ、またはネットワークがユーザーの ID を確認するために使用するプロセスです。ブラインド クレデンシャル (匿名ユーザー) には ID はありませんが、システムに入ることは許可されます。ID の確認は、許可されたユーザーにアクセスを許可し、許可されていないユーザーを排除するアクセス制御の概念に不可欠です。
• 生体認証は、ユーザーの生理的または行動的特徴を測定して、そのユーザーの身元を確認することです。使用される生理的特徴には、指紋、目の網膜と虹彩、音声パターン、顔のパターン、手の測定などがあります。使用される行動的特徴には、署名認識、歩行認識、話者認識、タイピングパターン認識などがあります。ユーザーが後にアクセスしようとするシステムに登録すると、1 つ以上の生理的特徴が取得され、数値アルゴリズムによって処理されます。この数値はデータベースに入力され、保存されている特徴と一致させようとするユーザーの特徴は、一定のエラー率まで一致する必要があります。

トークン認証は、コンピュータ システムまたはネットワークの許可されたユーザーが携帯する小型デバイスで、コンピュータまたはネットワーク システムにログインしているユーザーが実際に許可されているユーザーであるかどうかを識別するのに役立ちます。また、トークンには暗号キーと生体認証データを保存することもできます。最も一般的なタイプのセキュリティ トークン ( RSA SecurID ) には、1 分ごとに変わる数字が表示されます。ユーザーは、個人識別番号とトークンの数字を入力することで認証されます。トークンには時刻クロックと一意のシード値が含まれており、表示される数字はシード値と時刻の暗号化ハッシュです。アクセスされているコンピュータにも同じアルゴリズムが含まれており、ユーザーのシードと時刻を一致させることで数字を一致させることができます。クロック エラーが考慮され、数分ずれた値も受け入れられる場合があります。同様の別のタイプのトークン (Cryptogram) は、ボタンが押されるたびに値を生成できます。その他のセキュリティ トークンは、USB、スマート カード、またはBluetoothポートを介して、または専用インターフェイスを介してコンピュータに直接接続できます。携帯電話やPDAも、適切なプログラミングによりセキュリティ トークンとして使用できます。

パスワード認証では、秘密データを使用して特定のリソースへのアクセスを制御します。通常、ネットワーク、コンピューター、またはコンピューター プログラムにアクセスしようとするユーザーは、パスワードを知っているかどうかが尋ねられ、それに応じてアクセスが許可または拒否されます。パスワードは、ユーザー名と同様に、ユーザーによって作成されるか、割り当てられます。ただし、パスワードが割り当てられると、通常、ユーザーにはパスワードを任意のものに変更するオプションが与えられます。システムまたはネットワークの制限に応じて、ユーザーはパスワードを任意の英数字シーケンスに変更できます。通常、パスワード作成の制限には、長さの制限、数字、大文字、または特殊文字の要件、またはユーザー名に関連付けられた過去 4 ～ 5 回の変更されたパスワードを使用できないことが含まれます。さらに、システムは、一定期間後にユーザーにパスワードの変更を強制する場合があります。

双方向認証では、ユーザーとシステムまたはネットワークの両方が、通信チャネルを介してパスワードを送信することなく、共有パスワードを知っていることを互いに納得させます。これは、ランダムに生成された情報、つまり「チャレンジ」を送信するための暗号化キーとしてパスワードを使用することで行われます。次に、相手側は、最初に提供された情報の所定の関数である同様に暗号化された値、つまり「レスポンス」を返す必要があります。これにより、相手側はチャレンジを解読できたことが証明されます。Kerberos (コンピュータ ネットワーク認証プロトコル)は、暗号化された整数 N を送信し、レスポンスは暗号化された整数 N + 1 である必要があります。この良い例です。

アクセス権と権限レベルは、システムまたはネットワーク内でデータやファイルを作成、変更、削除、または表示するためにユーザーに付与される権利または権限です。これらの権限はユーザーごとに異なり、匿名ログイン (ゲスト) 権限からスーパーユーザー(ルート) 権限までの範囲に及びます。ゲスト アカウントとスーパーユーザー アカウントは両極端であり、各ユーザーに個別のアクセス権を付与または拒否できます。通常、これらの権限を付与または拒否できるのはシステム管理者 (スーパーユーザーとも呼ばれます) のみです。

ゲスト アカウント、つまり匿名ログインは、複数のユーザーがパスワードなしで同時にアカウントにログインできるように設定されます。ユーザーはユーザー名の入力を求められることがあります。このアカウントのアクセスは非常に制限されており、多くの場合、特別なパブリック ファイルへのアクセスのみが許可されます。通常、匿名アカウントにはセキュリティ上の目的で読み取りアクセス権のみが与えられます。

スーパーユーザーとは、ほとんどのコンピュータ オペレーティング システムでシステム管理者に割り当てられる権限レベルです。Unix および関連オペレーティング システムでは、このレベルはルートとも呼ばれ、ファイルの所有権の変更を含む、システム内のすべてのアクセス権を持ちます。Windows XP および NT より前のシステム (DOS や Windows 9x など) では、すべてのユーザーが実質的にスーパーユーザーであり、すべてのユーザーがすべてのアクセス権を持ちます。Windows NT および関連システム (Windows 2000 や XP など) では、スーパーユーザーは管理者アカウントと呼ばれます。ただし、この管理者アカウントは、分離されているかどうかによって存在する場合と存在しない場合があります。

• 物理的なセキュリティ