こんにちは、データ＆セキュリティ研究所の井上です。 インターネット上のデバイスの地理的位置を高信頼に推定するRobust Localization技術を活用したアプリのデモ版をFujitsu Research Portalに公開しました。 位置の要素に基づく新しいMFA（Multi-Factor Authentication）の体験をお試しいただけます。
Robust Localizationについて
インターネット上のホストまたはデータが地理的にどこにあるかを知るために、インターネットジオロケーション（IPジオロケーションとも呼ばれます）技術が使用されています。 その用途は多岐に渡りますが、地域を狙ったオンライン広告が主です。 一方で、グローバルなビジネス活動がサイバー起点で行われる昨今では、データの流通・越境を確認したり、地理的な観点からなりすまし行為を検知したりといったことが求められます。 サイバートラスト・サイバーセキュリティの文脈において、信頼できる形で地理的な位置情報を知ることが肝要になります。
そこで、富士通はベングリオン大学（イスラエル）と共に、信頼できる位置推定技術を探求すべく共同研究を行っており、Robust Localization（RL）技術として開発を進めております。 RLは、IPアドレスに対して複数の装置（Agent）からProbeパケットを送信し、ネットワーク遅延時間を測定し、その結果の情報を分析して高精度・高鮮度に位置情報の推定を行います。 さらに、上記アクティブ測定の結果からAgent自体の挙動を評価し、より信頼できるAgentネットワークを構築して、悪意のある攻撃者や脅威に対して高信頼な位置情報を提供します。
RL-based MFA
我々は、高信頼な位置推定技術であるRLの一つの応用例として、RL-based MFAのアプリケーションを開発しております。本記事は、そのデモ版を皆様にお試しいただける方法をご紹介いたします。
NISTのAuthenticator Assurance Levelsでは、記憶（what you know）、所持（what you have）、生体（who you are）の三要素でMFAの強度要件が議論されています。我々が今回開発したアプリでは新しい要素として位置（where you are）を検証することで、更なるセキュリティの強化を試みます。特に、グローバルでのデータマネジメント、輸出管理やデータ越境に敏感なサービス・システムにとって、ユーザのログイン時にアクセス元の位置を検証することで、位置ベースのアクセスコントロールといった応用も可能になると考えてます。
是非Fujitsu Research Portalへアクセスいただき、新しいMFAの形をご体験ください。
お試し方法
FRPに登録・アクセスいただくと、RL based MFAサービスのデモアプリをお試しいただけます。本デモでは、以下のサービス例をイメージしていただくことを目的とし、PC画面例とモバイル端末画面例の両方を 1 つのブラウザ上で操作いただきます。
サービス例：
利用者があるサービスにログインする際に、RL 技術により利用者 PC のアクセス元の地域を推定します。同時に、多要素認証用デバイスとして利用者が持つモバイル端末の位置も推定します。そして、 PC とモバイル端末の所在地の間に乖離が無いかを検証し、不審なアクセスを検知します。また、サービス内でログイン時の位置に基づいたアクセスコントロール等への応用も想定されます。
デモ画面（一例）：
PC画面で、操作地域の想定を選択します。（本来は、ユーザがログイン操作をしている裏で、RL技術によりPCの位置情報を推定します。）
同様に、多要素認証用のモバイル端末側でも想定位置を選択します。（本来は、ユーザが認証の操作をしている裏で、RL技術によりモバイル端末の位置情報を推定します。）
認証の結果が表示されます。ＰＣとモバイル端末の地理的な観点から異常が疑われる場合にはログインが棄却されます。ここでは、認証失敗として処理を終えていますが、状況に応じて追加のセキュリティを要求するといったフローも検討しております。
今後について
位置推定方式のブラッシュアップに取り組むとともに、RLの別の応用例として、クラウド上に保管しているデータを対象とした位置検証技術の研究開発も行っております。 引き続きFRPでの技術公開を計画して参りますので、どうぞお楽しみになさってください。
参考リンク
(注) 本技術は研究開発段階であり、将来サービス化されない可能性がございます。 また、本内容が各国法令への準拠しているかどうかは一切保証いたしません。
