特定のコンピュータのみにアクセスを許可するwebシステム

質問

web上から「ログインＩＤ」「パスワード」でシステムにログインし、
データの参照／更新を行うwebシステムを１００箇所近くに導入しています。

セキュリティと言えば、上記の「ＩＤ」「パスワード」のみなので、
退職したメンバーでも「ＩＤ」「パスワード」を知ってる人であればログインできてしまうので、
セキュリティ的には弱く、許可を図ろうと思っています。

まず考えたのがIPアドレスのチェックですが、クライアントのIPアドレスはコロコロ変わってしまうため、
「突然ログインできなくなった！」というトラブルの元になりそうです。

他の方法を検討しておりますが、一般的にどのような方法が使われてるのか知りたくて、質問しております。

極力、費用のかからない方法を検討しておりますが、セキュリティの強さの見合いで考えたいと思います。

よろしくお願いします。

回答No.4

hige_mario · ベストアンサー

思いつきですが。

クッキー利用可能が前提ですが、利用者側ＰＣに
書き込むクッキーになんらかのコードを書き込み、それを履歴しておくのはどうでしょう。一度アクセスの確認と認証したものをサーバー側に記録し、クッキー値で認証するしないを判定させれば、利用制限をサーバー側である程度制御できませんか？

クッキーなのであいまいになってしまう部分はあると思いますが、簡易には利用できるかと。

お礼

回答ありがとうございます。

この方法、良いですねー。採用します！(^^

回答No.3

zwi

やはり、何かを犠牲にしないと難しいかと。
普通利便性を優先したセキュリティだとカード認証やＵＳＢにトークンやドングルを挿して認証させるのが普通です。当然費用が掛かります。
その手を費用を掛けずに同じＩＤ・パスワードではセキュリティはないに等しいと思います。

ＵＳＢに挿して使うＵＳＢトークン。
http://www.atmarkit.co.jp/fsecurity/rensai/usb03/usb01.html

お礼

回答ありがとうございます。

ＵＳＢを使ってのセキュリティを使うとなると、
「ＵＳＢメモリさえ持ってれば、どのＰＣでもシステムが使えます」
というものだと思いますが、今回はＰＣは固定できます。

「このＰＣからは、このＩＤとパスワードのみでログイン」

という設定になると思いますので、ＵＳＢメモリで可能なら、
ＰＣに設定することでも可能な気がするのですが、どうでしょうか。

何らかの「隠し認証ファイル」をコンピュータへ設置して、Webシステムからそのファイルを参照するとか。

クライアントを触ることになるので、ブラウザのセキュリティ設定は必要かと思いますが、その点は最初に１回だけなのでクリアしそうです。

回答No.2

maenet1972

ログイン認証を二重構造にしたらどうでしょう？

１、通常のログインＩＤ、パスワードでログイン
２、さらに、先方側で決めたＩＤを入力
３、ここでシステムにログイン

２は、つまり定期的（１か月毎とか）に社内専用ＩＤを管理者に登録してもらうわけです。そうそれば、退職者はシステムにログイン出来なくなる訳です。

ちょっと、単純すぎますかね、、、。

お礼

回答ありがとうございます。

「ログインＩＤ」「パスワード」だけでなく、もう一つ「認証ＩＤ」のようなものを入力してもらうという方法ですね。
こちらも考えましたが、できればユーザーの操作は変えない形で考えたいと思っています。

無線ＬＡＮでの「MACアドレスで認証」・・・のようなものがあればいいのですが・・・。

回答No.1

noname#87667

どういう仕組みなのかわかりませんが、考えられるのは2つですね。
1.退職者が出るたびにパスワードを変える。
2.htpasswdでユーザID／パスワードを社員全員分作り、退職した人のデータをはずす。

一般的には「2」だと思います。「htpasswd アクセス制限」でググれば、すぐわかると思いますよ。

お礼

回答ありがとうございます。

ご提案の２パターンについてですが、運用方法としては厳しいですね。

システムの利用先は１００ヵ所近くあり、ＩＴリテラシの低い方もいらっしゃいます。

「パスワードを変える」というのは、運用に支障をきたす場合があります。

パスワードの変更をシステム利用者全員が把握できればいいのですが、中には、

「あれ？つながらんよ！」と、システム側（弊社）へ連絡してくるお客様もいらっしゃいます。
電話でパスワードを教えるわけにもいかず、接続までに時間がかかりますので、
双方でかなりのロスになってしまいます。

２の件ですが、１００か所の導入先は、１か所で１つのＩＤ／パスワードとなっており、
新たにユーザー毎のＩＤ／パスワードを設置し、覚えてもらうというのは、
やはり運用的に難しいです。

ユーザーが利用するコンピュータは決められるので、ハード面での特定ができないかと思うのですが・・・。