この記事は「コラボスタイル ２ Advent Calendar 2025」の11日目の記事です🎄
はじめに
こんにちは！
先日準チョコレートにカカオが入っていないことを知り、衝撃を受けました。成分表が未だに信じられないのですが、これが事実なら味の再現レベル高すぎませんか？トップバリューの生チョコが美味しすぎて、企業努力を感じますね...。
11日目のこちらの記事は「BASIC認証」です！
コラボフローでも利用できますし、私も個人の検証環境などで活用しています！
ですが実は、BASIC認証の単体利用はちょっと(※とても)心配 なんです。
今回は、BASIC認証の仕組みと弱点、そして上手な使い方についてお話しします。
結論から言うと、BASIC認証は「+αでの利用」がおすすめ です！
BASIC認証ってそもそも何？
BASIC認証は、Webページにアクセスしたときに出てくる、あのダイアログのことです。
ユーザー名とパスワードを入力しないとページが見られない、というシンプルな認証方式ですね。
設定も比較的かんたんなので、「とりあえずアクセス制限をかけたい」というときによく使われています。
なぜBASIC認証だけだと心配なのか
シンプルで便利なBASIC認証ですが、いくつかの弱点があります。
1. IDとパスワードが「見える形」で送られている
BASIC認証では、IDとパスワードが暗号化されずに送信されています。
正確には「Base64」という形式に変換されていますが、これは暗号ではありません。
誰でも簡単に元に戻すことが可能です。
戻し方が気になる人向け
Base64のエンコード・デコードはコマンド一つでできます。
# Base64にエンコード（変換）
$ echo -n "admin:password" | base64
YWRtaW46cGFzc3dvcmQ=
# Base64をデコード（元に戻す）
$ echo "YWRtaW46cGFzc3dvcmQ=" | base64 -d
admin:password
このように、一瞬で元に戻せてしまいます。
カフェのフリーWiFiなど、同じネットワーク上の通信は、知識があれば覗けてしまいます。これにより、IDもパスワードもバレてしまう可能性があるのです。
2. 毎回IDとパスワードを送っている
普通のログインだと、最初に一度IDとパスワードを送ったら、あとは「ログイン済み」という情報だけでやりとりします。でもBASIC認証は、
ページを開くたびに毎回IDとパスワードを送っています。
そのため、送る回数が多いほど盗まれるチャンスも増えてしまいます。
3. 何度でもパスワードを試せる
BASIC認証には、「パスワードを何回間違えたらロックする」という仕組みがありません。
攻撃者は何度でも、何万回でもパスワードを試すことができます。
簡単なパスワードだと、あっという間に突破されてしまうのです。
じゃあBASIC認証は意味ないの？
勿論そんなことはありません！
BASIC認証は 「補助錠」として優秀 です。
家の鍵で例えてみましょう。
- メインの鍵（玄関の鍵）= パスワード認証
- 補助錠（チェーンロックなど）= BASIC認証
補助錠だけで家を守ろうとする人はいませんよね。
でも、メインの鍵に加えて補助錠もかけておけば、泥棒は「この家は面倒だな」と思って諦めやすくなります。
BASIC認証も同じで、他の対策と組み合わせることで効果を発揮 します。
多層防御、これだけやっておこう
「多層防御」というと難しそうですが、要は 鍵を何重にもかけておこう という考え方です。
一つ目の鍵が突破されても全部突破するのは大変ですし、難易度が高いことに気がつくと攻撃者が諦めてくれるケースは結構多いのです。
コラボフローには様々なセキュリティ設定がありますが、BASIC認証と組み合わせるなら、例えばこんな設定がおすすめです。
| 対策 | 例えるなら | 設定によって得られる効果 |
|---|---|---|
| パスワードは 15文字以上 | 頑丈な玄関の鍵 | 推測されにくくなる |
| アカウントロック を有効に | 何度も間違えると玄関のドアは開かなくなる | 攻撃者が何度も挑戦できなくなる |
| BASIC認証 を追加 | 補助錠 | 突破すべき壁が増える |
| IPアドレス制限（できれば） | 門・塀 | そもそも近づけない |
| SAML連携でMFA（さらに強化） | 顔認証付きオートロック | 鍵を盗まれても本人以外入れない |
今ある設定を一つ増やすだけでも、セキュリティレベルはグッと上がります！
これ以外にもコラボフローにはセキュリティ機能があります。詳しくは公式ドキュメントをご確認ください。
まとめ
| ポイント | 内容 |
|---|---|
| BASIC認証とは | アクセス時に出てくる認証ダイアログ |
| 弱点 | IDとパスワードが暗号化されない、毎回送信される、試行回数制限がない |
| 使い方 | 単体ではなく +αで使う のがおすすめ |
| 多層防御 | たくさんを組み合わせて、セキュリティレベルをあげよう |
BASIC認証は、正しく理解して使えば立派なセキュリティ対策の一つです。
「補助錠」として上手に活用していきましょう！💪
参考資料
「ワークスタイルの未来を切り拓く」を理念に掲げ、リアルとデジタルの2つの働く場に向けた事業展開に留まらず、自社が率先して新しいワークスタイルに挑戦し、発信を行うことでワークスタイルの未来を切り拓いていきます。
Discussion