Fujitsu Cloud Service for OSS（4OSS）上にOTP/ワンタイム・パスワード認証のWebサーバーを構築&運用する / はじめの一歩

富士通が運用するOpenStackのクラウド基盤 Fujitsu Cloud Service for OSS（4OSS）上にWebアクセス時のワンタイムパスワード認証機能付きのWebサーバーを構築します。一般的なOpenStackでも、同様の構成でワンタイムパスワード機能付属のWebサーバーの運用が出来ます。

Fujitsu Cloud Service for OSS（4OSS）

Webサイトの構築＆運用
Webアクセス時のワンタイムパスワード認証
リバースプロキシ（既存Webサービスとの連携）

に対応させることにします。

Webへのアクセス認証は、従来のID/パスワードに加え、ワンタイムパスワードの多要素認証 / Multi Factor Authenticationに対応させます。リモートワークやテレワーク時のスマフォやPCなどの端末からも、Webサイトへ安全にアクセスさせることが出来ます。

構築方針

CentOS / RedHat 7.x で運用する
Webへのアクセス認証は多要素認証に対応する
クライアント側も導入しやすい事（費用・汎用性）
汎用的なソフトウエアトークンに対応している事(低価格）
システムの導入・運用＆保守が簡単な事（ひとり情シス対応）
サーバーは自社管理でも運用出来ること
既存Webへの認証連携のため、リバースプロキシにも対応している事

ワンタイムパスワードとしては、ハードウエア・トークンやソフトウエア・トークンなどの各種の方式があります。ハードウエアトークン（パスワード生成器）は、専用のハードの為に導入時に費用がかさみますがソフトウエア・トークンの場合には、OSSや無償のソフトなどもあり、導入時のコストを大幅に抑えることが出来ます。

ワンタイムパスワード認証を利用した各社のWebサービスとしては

Google
Amazon
Microsoft
Facebook
Dropbox
仮想通貨のサイト
インターネットバンキング

などがあります。これらのサービスは、時間ベースのワンタイムパスワード方式（TOTP)を採用しています。

RFC 6238で規定されたTOTP/時間ベースのワンタイムパスワードでは、サーバーとクライアントで共有する秘密鍵（共有鍵）と現在時刻から、認証コードを計算するアルゴリズムで一定時間毎（例　30秒毎）に、ワンタイムパスワードでの認証コードが変わります。パスワードが盗まれてもすぐに廃棄されるので安心です。秘密鍵はユーザー毎に異なります。

TOTPに対応した無償で利用出来る汎用的なクライアント・ソフト（ソフトウエアトークン）としては

Google Authenticator

iOS/androidに対応
バックアップ機能なし

Authy

iOS/android 対応
Windows/Mac/Linux 対応 (Chromeブラウザの拡張機能）
Chrome OS 対応
バックアップ機能あり

iiJ SmartKey

iOS/android 対応（日本語対応）

WinAuth

Windows 対応

などです。他にもRFC 6238に準拠したTOTPに対応の有償のハードウエアトークンやソフトウエアトークンなどもあります。

使用するもの

サーバー側の機能の条件を満たすサーバーとして、CentOS /RedHatで動作する

「Powered BLUE 870/OTP 」を利用します。

このサーバーは、GUIからの操作で全ての設定/運用/保守が行なえるオールインワンのアプライアンス・サーバーです。ひとり情シス環境でも簡単に運用が出来ます。またSSLクライアント認証との併用も可能です。（多要素認証 /Multi Factor Authentication)

「Powered BLUE 870/OTP 」のワンタイムパスワードの方式としては、Google、Amazon、Microsoft、Facebook、仮想通貨のサイトなどでも、一般的に使われているGoogle Authenticator(*1) やFreeOTPのトークン（パスワード生成器）のフォーマットに対応しています。

（注意 *1　Google などのアカウントやサービスを利用しているわけではありません）

ユーザー側では、無償で利用出来る Google Authenticator / Authy / iiJ SmartKey / WinAuth などのソフトウエアトークンで「Powered BLUE 870/OTP 」のワンタイムパスワード認証機能を利用することが出来ます。