S1.1-02

S1.1-02 では、ネットワークを介したユーザ認証の仕組み、または IoT 機器初期設定時のクライアント認証の仕組みとしてパスワードによる認証を実装している場合に、パスワード強度を一定以上に保つための仕組みを要求しています。

これは総当たり攻撃などの自動化されたパスワードクラッキングに対して耐性を持たせるためです。

4.1. ネットワークを介したユーザ認証をリストアップする

Armadillo Base OS が提供する機能でネットワークを介したユーザ認証が必要なものは以下が挙げられます。

これらに加えて、開発した IoT 製品が持つネットワークを介したユーザ認証をリストアップしてください。

リストアップした機能のうち、使用しないものは無効化してください。

アットマークテクノが提供する機能を使用する場合は、以下の手順で無効化できます。

ABOS Web の無効化は、「ABOS Web を無効化する」を参照してください。

sshd を運用時に使用することは推奨しません。 sshd サービスは ABOS の標準状態では無効化されていますが、開発中に有効化される場合があります。量産に入る前に忘れずに無効化することを推奨します。 sshd の無効化は、以下の手順で行います。

[armadillo ~]# rc-service sshd stop
[armadillo ~]# rc-update del sshd
[armadillo ~]# persist_file -d /etc/runlevels/default/sshd

図4.1 sshd の無効化

Armadillo を無線 LAN アクセスポイントとして動作させる際のパスワードと、ABOS Web のログインパスワード、 Armadillo Twin のログインパスワードにおいて、アットマークテクノでは以下の方法でパスワードの強度を一定以上に保つようにしています。

Armadillo を無線 LAN アクセスポイントとして動作させる際のパスワードは、ABOS Web の「WLAN設定」から設定できます。 ABOS Web では、無線 LAN アクセスポイントのパスワードを設定する際に、以下のような制限を設けています。

ABOS Web のパスワード設定には以下の方法があります。

それぞれの設定方法において、 ABOS Web のログインパスワードの強度を一定以上に保つための仕組みを提供しています。

開発前に initial_setup.swu をインストールします。

initial_setup.swu を生成するタイミングで、ABOS Web のパスワードを設定します。

パスワードの強度を一定以上に保つために以下のような対応を行っています。

initial_setup.swu を使用しない場合、ABOS Web の初回ログイン時にパスワードを設定します。この場合も、パスワードの強度を一定以上に保つために以下のような対応を行っています。

エンドユーザーに ABOS Web の初回ログイン時にパスワードを設定してもらう場合は、現在のパスワードをリセットする必要があります。 ABOS Web の「設定管理」の「パスワードリセット」を使用します。

図4.2 ABOS Web のパスワードリセット

現在のパスワードを入力して「リセット」ボタンを押すと、次回 ABOS Web ログイン時にパスワードの再設定が要求されます。この場合も、「ABOS Web の初回ログイン時にパスワードを設定する場合」と同様の基準でパスワードの強度を担保します。

Armadillo Twin のアカウント作成時にパスワードを設定します。

アカウントの作成方法は、Armadillo Twin のマニュアルを参照してください。

Armadillo Twin では、パスワードの強度を一定以上に保つために以下のような対応を行っています。

S1.1-02 はドキュメント評価です。

アットマークテクノが提供する機能を使用する場合は、上記をご参照ください。

また、開発者が開発するアプリケーションにおいて、守るべき情報資産に対してパスワードによるアクセス制御を施す場合は、同様に評価項目 1 または評価項目 2 を満たすパスワード強度を担保する仕組みを実装する必要があります。

チェックリストではその実装内容を明示する必要がありますので、実装した仕組みについて技術文書に記載してください。


第3章 S1.1-01	PDF version	第5章 S1.1-03