秘密の質問

2015年5月23日

アカウント復旧など緊急時の個人認証手段であるApple IDのセキュリティ質問などとして広く使われている、いわゆる「秘密の質問」。

実は危険な“秘密の質問”、Googleが研究結果を発表 — Internet Watch記事より

予てより**「状況によっては秘密とはとても言い切れないのでは？」**と危惧していたのだが、マイナビニュースの記事によるとGoogleから

容易に覚えられる答えは安全性が低く、本人以外が答えられないような質問にすると本人も答えられなくなる可能性が高まる。

という内容の分析結果が発表された模様。

ITmediaの記事によると

理由の1つは、答えが簡単に分かってしまうこと。例えば、米国人の「好きな食べ物」の質問に対する答えは、1回の推測だけで19.7％の確率で言い当てられることが分かった（ちなみにその答えは「ピザ」だった）。

との事だ。日本人だと"ラーメン"、“カレー”、“すし"あたりが「ありがち」だろうか。そうでなくても、知人であれば高確率で推測可能だったりするのは指摘している通りだ。

しかし、セキュリティを強化するために質問を難しくして、例えば「母が小学校に入学した場所」「図書館カードの番号」などの質問を使った場合、ユーザーが答えを覚えていられる確率は減る。質問を2つにした場合も、ユーザーが2つとも答えを覚えていられる確率は59％にとどまったという。

という事だが、上の場合でも"ラーメン"ではなく、“とんこつラーメン"とか"元祖長浜屋"とか少し捻った設定する事もできるが、いざという時にうっかり"ラーメン"と答えると認証されない事になる。また、“すし"に対して"スシ"や"おすし"などの"ゆらぎ"が同一視されない場合も弾かれる事になるので「確実に答えられる」という観点で適当とは言い難く、「秘密の質問」なんていうのはさっさと葬り去って、第2メールアドレスやSMSなどの予備インタフェースを使った認証に切り替えるべきだ。

【6/2追記】INTERNET Watchの続報によると「秘密の質問にあえて嘘の答えを設定するケース」に関する報告もあるらしい。

メディアの報道で紹介されているのは論文の一部だけであり、実際にはかなり細かくいろいろな調査を行った結果がまとめられています。トータルで150ページにも及ぶ論文なのですべてに目を通すことはできないかもしれませんが、個々のグラフや表を見るだけでも「なるほど」「面白い」と思える論文です。興味のある方はぜひ。

との事。Lessons from the Use of Personal Knowledge Questions at Googleから読めるのは141～150の10ページ分しかないですが！？

【7/10追記】Google Developer Japan Blogに日本語訳掲載。