ムービットのブログ

AWS/EC2で運用するWebサイトへ2要素認証（Multi-Factor Authentication)を導入

AWS上に CentOSで動作するワンタイムパスワード認証 / OTP対応のWebサーバーを構築します

サーバー構築の方針は、以下とする

クライアント側も導入しやすい事（費用・汎用性）
多要素認証 / Multi-Factor Authenticationに対応すること
CentOS で動作すること
リバースプロキシ機能も有すること
システムの導入 / 運用 / 保守が簡単な事

ワンタイムパスワードとしては、ハードウエア・トークンやソフトウエア・トークンなどの各種の方式があります。ハードウエアトークン（パスワード生成器）は、専用のハードの為に導入時に費用がかさみますがソフトウエア・トークンの場合には、OSSや無償のソフトなどもあり、導入時のコストを抑えることが出来ます。

ワンタイムパスワード認証を利用した各社のWebサービスとしては

Google
Amazon
Microsoft
Facebook
Dropbox
仮想通貨のサイト
インターネットバンキング

などがあります。これらのサービスは、時間ベースのワンタイムパスワード方式（TOTP)を採用しています。

RFC 6238で規定されたTOTP/時間ベースのワンタイムパスワードでは、サーバーとクライアントで共有する秘密鍵（共有鍵）と現在時刻から、認証コードを計算するアルゴリズムで一定時間毎（例　30秒毎）に、ワンタイムパスワードでの認証コードが変わります。

TOTPに対応した無償のクライアント・ソフト（ソフトウエアトークン）としては

Google Authenticator

iOS/androidに対応
バックアップ機能なし

Authy

iOS/android 対応
Windows/Mac/Linux 対応 (Chromeブラウザの拡張機能）
Chrome OS 対応
バックアップ機能あり

iiJ SmartKey

iOS/android 対応（日本語対応）

WinAuth

Windows 対応

などです。他にもRFC 6238に準拠したTOTPに対応の有償のハードウエアトークンやソフトウエアトークンなどもあります。

自分の環境に合ったソフトウエアトークンを、自分のスマフォやPCにインストールして利用してください。

サーバー側の機能としては

AWSやクラウド上で運用出来るWebサーバー
多要素認証に対応（ワンタイムパスワード & ID / パスワード）
CentOS で動作
システムの導入・運用＆保守が簡単な事

の条件を満たすサーバーとして、CentOS / RedHat で動作する

「Powered BLUE 870/OTP 」を利用します。

このサーバーは、GUIからの操作で全ての設定/運用/保守が行なえるオールインワンのアプライアンス・サーバーです。ひとり情シス環境でも簡単に運用が出来ます。またSSLクライアント認証との併用も可能です。

「Powered BLUE 870/OTP 」のワンタイムパスワードの方式としては、Google、Amazon、Microsoft、Facebook、仮想通貨のサイトなどでも、一般的に使われているGoogle Authenticator(*1) やFreeOTPのトークン（パスワード生成器）のフォーマットに対応しています。

（注意 *1　Google などのアカウントやサービスを利用しているわけではありません）

ユーザー側では、Google Authenticator / Authy / iiJ SmartKey / WinAuth　などのトークンから「Powered BLUE 870/OTP 」のワンタイムパスワード認証機能を利用することが出来ます。