Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

パスワードの漏洩と認証情報侵害を検出する

このページでは、Fraud Defense のパスワード保護機能を使用してパスワード漏洩と認証情報侵害を検出して、アカウントの乗っ取り（ATO）やクルデンシャルスタッフィング攻撃を防止する方法について説明します。Fraud Defense では、評価の一環としてユーザー認証情報（パスワード）を定期的に監査して、漏洩や侵害が発生していないことを確認できます。この評価を行うために Google ではパスワードチェックアップ機能を使用しています。

始める前に

Google Cloud Fraud Defense の環境を準備します。
Fraud Defense を設定します。
プロジェクト Google Cloud に対して課金が有効になっていることを確認します。

Fraud Defense でパスワード防御機能を使用するには、プロジェクトで課金をリンクして有効にする必要があります。課金は、クレジットカードまたは既存のプロジェクトの課金 ID Google Cloud を使用して有効にできます。課金についてサポートが必要な場合は、 Cloud Billing サポートまでお問い合わせください。

認証情報の侵害や漏洩の確認

一連の認証情報が侵害されたかどうかは、暗号関数を使用するか、Docker コンテナを使用して確認できます。

Docker コンテナは、エンドユーザーのプライバシーを保護し、パスワード漏洩を安全に検索するために必要なセキュアマルチパーティコンピューティングを実装するオープンソースクライアントです。詳細については、GitHub リポジトリをご覧ください。 Docker コンテナは、暗号アルゴリズムの実装の複雑さを抽象化し、インストールプロセスを簡素化します。また、コンテナアプリをインフラストラクチャでホストすることもできます。

暗号関数

一連の認証情報が侵害されたかどうかを確認するには、ログイン、パスワードの変更、パスワードの再設定などのアクションの評価を作成するときにパスワード防御を使用します。

次の手順でパスワードの漏洩や認証情報の侵害を確認します。

リクエストパラメータを生成する。
パスワードの漏洩を検出する評価を作成する。
評価から漏洩した認証情報を検証する。
判定を解釈して対処する。

リクエストパラメータを生成する

ハイプライバシープロトコルに必要な暗号関数を使用して、必要なリクエストパラメータを計算します。パスワード防御には、これらのフィールドの生成に役立つ Java ライブラリと TypeScript ライブラリが用意されています。
- java-recaptcha-password-check-helpers
- typescript-recaptcha-password-check-helpers
パスワードチェックの検証を作成するには、PasswordCheckVerifier オブジェクトを作成します。
```
PasswordCheckVerifier verifier = new PasswordCheckVerifier();
```
検証を開始するには、PasswordCheckVerifier#createVerification を呼び出します。この方法では、ユーザー名とパスワードを使用してパラメータを計算し、パスワードチェックを実行します。
```
PasswordCheckVerification verification = verifier.createVerification("username", "password").get();
```
検証パラメータを使用して評価を作成します。
```
byte[] lookupHashPrefix = verification.getLookupHashPrefix();
byte[] encryptedUserCredentialsHash = verification.getEncryptedUserCredentialsHash();
```
バイト配列 lookupHashPrefix と encryptedUserCredentialsHash には、パスワードチェック Assessment を開始するために必要なパラメータが含まれています。

パスワード漏洩を検出する評価の作成

projects.assessments.create メソッドを使用します。

リクエストデータを使用する前に、次の置換を行います。

PROJECT_ID: 実際の Google Cloud プロジェクト ID
LOOKUP_HASH_PREFIX: ユーザー名のプレフィックス SHA-256 ハッシュプレフィックス
ENCRYPTED_USER_CREDENTIALS_HASH: 暗号化されたユーザー認証情報 Scrypt ハッシュ

HTTP メソッドと URL:

POST https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/assessments

リクエストの本文（JSON）:

{
  "private_password_leak_verification": {
    "lookup_hash_prefix": "LOOKUP_HASH_PREFIX",
    "encrypted_user_credentials_hash": "ENCRYPTED_USER_CREDENTIALS_HASH"
  }
}

リクエストを送信するには、次のいずれかのオプションを選択します。

curl

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ユーザーアカウントで gcloud CLI にログインしているか、Cloud Shell を使用して自動的に gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/assessments"

PowerShell

注: 次のコマンドは、gcloud init または gcloud auth login を実行して、ご自分のユーザーアカウントで gcloud CLI にログインしていることを前提としています。gcloud auth list を実行すると、現在アクティブなアカウントを確認できます。

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recaptchaenterprise.googleapis.com/v1/projects/PROJECT_ID/assessments" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "name": "projects/698047609967/assessments/fb22000000000000",
  "score": 0,
  "reasons": [],
  "privatePasswordLeakVerification": {
    "lookupHashPrefix": "zoxZwA==",
    "encryptedUserCredentialsHash": "AyRihRcKaGLj/FA/r2uqQY/fzfTaDb/nEcIUMeD3Tygp",
    "reencryptedUserCredentialsHash": "Aw65yEbLM39ww1ridDEfx5VhkWo11tzn/R1B88Qqwr/+"
    "encryptedLeakMatchPrefixes": [
      "n/n5fvPD6rmQPFyb4xk=", "IVQqzXsbZenaibID6OI=", ..., "INeMMndrfnlf6osCVvs=",
      "MkIpxt2x4mtyBnRODu0=", "AqUyAUWzi+v7Kx03e6o="]
  }
}

評価から漏洩した認証情報を検証する

reEncryptedUserCredentials レスポンスからフィールド encryptedLeakMatchPrefixes とを抽出し、検証オブジェクトに渡して認証情報が漏洩しているかどうかを判断します。

PasswordCheckResult result = verifier.verify(verification,
result.getReEncryptedUserCredentials(),
result.getEncryptedLeakMatchPrefixes()
).get();

System.out.println("Credentials leaked: " + result.areCredentialsLeaked());

コードサンプル

Node.js（TypeScript）

Node.js（TypeScript）を使用してパスワード防御を実装する方法については、GitHub の TypeScript コードサンプルをご覧ください。

Java

Fraud Defense に対する認証を行うには、アプリケーションのデフォルト認証情報を設定します。詳細については、ローカル開発環境の認証の設定をご覧ください。


import com.google.cloud.recaptcha.passwordcheck.PasswordCheckResult;
import com.google.cloud.recaptcha.passwordcheck.PasswordCheckVerification;
import com.google.cloud.recaptcha.passwordcheck.PasswordCheckVerifier;
import com.google.cloud.recaptchaenterprise.v1.RecaptchaEnterpriseServiceClient;
import com.google.protobuf.ByteString;
import com.google.recaptchaenterprise.v1.Assessment;
import com.google.recaptchaenterprise.v1.CreateAssessmentRequest;
import com.google.recaptchaenterprise.v1.PrivatePasswordLeakVerification;
import java.io.IOException;
import java.util.List;
import java.util.concurrent.ExecutionException;
import java.util.stream.Collectors;

public class CreatePasswordLeakAssessment {

  public static void main(String[] args)
      throws IOException, ExecutionException, InterruptedException {
    // TODO(developer): Replace these variables before running the sample.
    // Google Cloud Project ID.
    String projectID = "project-id";

    // Username and password to be checked for credential breach.
    String username = "username";
    String password = "password";

    checkPasswordLeak(projectID, username, password);
  }

  /*
   * Detect password leaks and breached credentials to prevent account takeovers
   * (ATOs) and credential stuffing attacks.
   * For more information, see:
   * https://cloud.google.com/recaptcha-enterprise/docs/check-passwords and
   * https://security.googleblog.com/2019/02/protect-your-accounts-from-data.html

   * Steps:
   * 1. Use the 'create' method to hash and Encrypt the hashed username and
   * password.
   * 2. Send the hash prefix (26-bit) and the encrypted credentials to create
   * the assessment.(Hash prefix is used to partition the database.)
   * 3. Password leak assessment returns a list of encrypted credential hashes to
   * be compared with the decryption of the returned re-encrypted credentials.
   * Create Assessment also sends back re-encrypted credentials.
   * 4. The re-encrypted credential is then locally verified to see if there is
   * a match in the database.
   *
   * To perform hashing, encryption and verification (steps 1, 2 and 4),
   * reCAPTCHA Enterprise provides a helper library in Java.
   * See, https://github.com/GoogleCloudPlatform/java-recaptcha-password-check-helpers

   * If you want to extend this behavior to your own implementation/ languages,
   * make sure to perform the following steps:
   * 1. Hash the credentials (First 26 bits of the result is the
   * 'lookupHashPrefix')
   * 2. Encrypt the hash (result = 'encryptedUserCredentialsHash')
   * 3. Get back the PasswordLeak information from
   * reCAPTCHA Enterprise Create Assessment.
   * 4. Decrypt the obtained 'credentials.getReencryptedUserCredentialsHash()'
   * with the same key you used for encryption.
   * 5. Check if the decrypted credentials are present in
   * 'credentials.getEncryptedLeakMatchPrefixesList()'.
   * 6. If there is a match, that indicates a credential breach.
   */
  public static void checkPasswordLeak(
      String projectID, String username, String password)
      throws ExecutionException, InterruptedException, IOException {

    // Instantiate the java-password-leak-helper library to perform the cryptographic functions.
    PasswordCheckVerifier passwordLeak = new PasswordCheckVerifier();

    // Create the request to obtain the hash prefix and encrypted credentials.
    PasswordCheckVerification verification =
        passwordLeak.createVerification(username, password).get();

    byte[] lookupHashPrefix = verification.getLookupHashPrefix();
    byte[] encryptedUserCredentialsHash = verification.getEncryptedUserCredentialsHash();

    // Pass the credentials to the createPasswordLeakAssessment() to get back
    // the matching database entry for the hash prefix.
    PrivatePasswordLeakVerification credentials =
        createPasswordLeakAssessment(
            projectID,
            lookupHashPrefix,
            encryptedUserCredentialsHash);

    // Convert to appropriate input format.
    List<byte[]> leakMatchPrefixes =
        credentials.getEncryptedLeakMatchPrefixesList().stream()
            .map(x -> x.toByteArray())
            .collect(Collectors.toList());

    // Verify if the encrypted credentials are present in the obtained match list.
    PasswordCheckResult result =
        passwordLeak
            .verify(
                verification,
                credentials.getReencryptedUserCredentialsHash().toByteArray(),
                leakMatchPrefixes)
            .get();

    // Check if the credential is leaked.
    boolean isLeaked = result.areCredentialsLeaked();
    System.out.printf("Is Credential leaked: %s", isLeaked);
  }

  // Create a reCAPTCHA Enterprise assessment.
  // Returns:  PrivatePasswordLeakVerification which contains
  // reencryptedUserCredentialsHash and credential breach database
  // whose prefix matches the lookupHashPrefix.
  private static PrivatePasswordLeakVerification createPasswordLeakAssessment(
      String projectID,
      byte[] lookupHashPrefix,
      byte[] encryptedUserCredentialsHash)
      throws IOException {
    try (RecaptchaEnterpriseServiceClient client = RecaptchaEnterpriseServiceClient.create()) {

      // Set the hashprefix and credentials hash.
      // Setting this will trigger the Password leak protection.
      PrivatePasswordLeakVerification passwordLeakVerification =
          PrivatePasswordLeakVerification.newBuilder()
              .setLookupHashPrefix(ByteString.copyFrom(lookupHashPrefix))
              .setEncryptedUserCredentialsHash(ByteString.copyFrom(encryptedUserCredentialsHash))
              .build();

      // Build the assessment request.
      CreateAssessmentRequest createAssessmentRequest =
          CreateAssessmentRequest.newBuilder()
              .setParent(String.format("projects/%s", projectID))
              .setAssessment(
                  Assessment.newBuilder()
                      // Set request for Password leak verification.
                      .setPrivatePasswordLeakVerification(passwordLeakVerification)
                      .build())
              .build();

      // Send the create assessment request.
      Assessment response = client.createAssessment(createAssessmentRequest);

      // Get the reCAPTCHA Enterprise score.
      float recaptchaScore = response.getRiskAnalysis().getScore();
      System.out.println("The reCAPTCHA score is: " + recaptchaScore);

      // Get the assessment name (id). Use this to annotate the assessment.
      String assessmentName = response.getName();
      System.out.println(
          "Assessment name: " + assessmentName.substring(assessmentName.lastIndexOf("/") + 1));

      return response.getPrivatePasswordLeakVerification();
    }
  }
}

Docker コンテナ

認証情報が漏洩しているかどうかを確認するには、localhost 接続を使用するか、コンテナに HTTPS を設定して、ユーザー名とパスワードの認証情報ペアをコンテナに安全に送信します。コンテナは、API リクエストを行う前にこれらの認証情報を暗号化し、再暗号化された結果をローカルで検証します。

Docker コンテナにリクエストを送信するには、次の手順を完了します。

Docker を設定する。
Docker コンテナの環境を準備する。
コンテナをビルドして実行する。
コンテナに HTTP リクエストを送信する。
判定を解釈して対処する。

Docker コンテナを実行する準備をする

認証戦略を選択します。

コンテナは、アプリケーションのデフォルト認証情報の設定をサポートしているか、認証にAPI キーを受け入れることができます。
HTTPS または localhost 専用のデモモードで実行するように PLD コンテナを構成します。

コンテナは機密性の高いエンドユーザー認証情報（ユーザー名とパスワード）を受け入れるため、HTTPS または localhost 専用のデモモードで実行する必要があります。HTTPS 構成のガイダンスについては、 GitHub の README をご覧ください。

次の手順では、API キー認証を使用し、localhost 専用のデモモードでクライアントを実行します。

Docker コンテナをビルドして実行する

リポジトリのクローンを作成します。

git clone github.com/GoogleCloudPlatform/reCAPTCHA-PLD

コンテナを構築します。
```
docker build . -t pld-local
```

コンテナを起動します。

docker run --network host \
-e RECAPTCHA_PROJECT_ID=PROJECT_ID \
-e GOOGLE_CLOUD_API_KEY=API_KEY \
pld-local

コンテナが起動し、localhost のポート 8080 でリクエストの処理を開始します。

localhost リクエストを送信する

リクエストデータを使用する前に、次の置換を行います。

LEAKED_USERNAME: 漏洩した認証情報ペアのユーザー名。
LEAKED_PASSWORD: 漏洩した認証情報ペアのパスワード。

HTTP メソッドと URL:

POST http://localhost:8080/createAssessment/

リクエストの本文（JSON）:

{
    "username":"LEAKED_USERNAME",
    "password":"LEAKED_PASSWORD"
}

リクエストを送信するには、次のいずれかのオプションを選択します。

curl

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

curl -X POST \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "http://localhost:8080/createAssessment/"

PowerShell

リクエスト本文を request.json という名前のファイルに保存して、次のコマンドを実行します。

$headers = @{  }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "http://localhost:8080/createAssessment/" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。


  { "leakedStatus":"LEAKED" }


 OR


  { "leakedStatus":"NO_STATUS" }

判定を解釈して対処する

評価レスポンスには、認証情報が漏洩したかどうかが示され、ユーザーを保護するための適切な措置を講じるために使用できる情報が提供されます。

次の表に、漏洩したパスワードが検出された場合に推奨されるアクションを示します。

漏洩したパスワードが検出された	ユーザーを保護するためのアクション
ログイン中	拒否し、お客様に別のパスワードを選択するよう求め、可能であれば MFA チャレンジをトリガーします。アカウント間で一意のパスワードを使用するようユーザーに促します。サイトでは安全なパスワードを必須にします。多要素認証（MFA）を使用していない場合は、有効にするようユーザーに促します。
アカウントの作成時またはパスワードの再設定時	ユーザーにパスワードの変更を要求します。多要素認証（MFA）フローをトリガーします。

漏洩したパスワードが検出された

ユーザーを保護するためのアクション

ログイン中

拒否し、お客様に別のパスワードを選択するよう求め、可能であれば MFA チャレンジをトリガーします。
アカウント間で一意のパスワードを使用するようユーザーに促します。
サイトでは安全なパスワードを必須にします。
多要素認証（MFA）を使用していない場合は、有効にするようユーザーに促します。

アカウントの作成時またはパスワードの再設定時

ユーザーにパスワードの変更を要求します。
多要素認証（MFA）フローをトリガーします。

サイトでもう MFA プロバイダを使用していない場合は、Fraud Defense の MFA 機能を使用できます。

次のステップ

多要素認証（MFA）の使用方法について学ぶ
Fraud Defense アカウント保護を使用してユーザーアカウントを保護する方法を確認する

パスワードの漏洩と認証情報侵害を検出する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

始める前に

認証情報の侵害や漏洩の確認

暗号関数

リクエスト パラメータを生成する

パスワード漏洩を検出する評価の作成

curl

PowerShell

評価から漏洩した認証情報を検証する

コードサンプル

Node.js（TypeScript）

Java

Docker コンテナ

Docker コンテナを実行する準備をする

Docker コンテナをビルドして実行する

localhost リクエストを送信する

curl

PowerShell

判定を解釈して対処する

次のステップ

パスワードの漏洩と認証情報侵害を検出する

リクエストパラメータを生成する