トップページ
VPS比較のTips
VPSのセキュリティ機能比較（二段階認証・ログイン通知・SSH公開鍵認証）

VPSのセキュリティ機能比較（二段階認証・ログイン通知・SSH公開鍵認証）

カテゴリ：VPS比較

VPSのセキュリティについて

VPSはインスタンスが作成されれば、rootユーザーの権限が付与されるため、セキュリティには特に気を遣う必要のある種類のレンタルサーバーです。仮に管理画面への不正ログインを許せばサイトの改ざんや破壊、DNSの変更等が行われ、自サイトの被害のみならず、利用しているユーザーにも大きな損害を与えかねません。

またrootユーザーでのOSへの不正ログインが行われれば、サイトの改ざんや情報漏洩はもちろん、ボットのインストール等、その影響範囲は計り知れないでしょう。特に痕跡を残さずに不正プログラムを仕込まれれば、気づかないまま攻撃者（加害者）となってしまう事さえあります。

VPSを長らく利用している方は、OSのログを見ればSSH認証やSMTP認証、POP3認証のブルートフォース攻撃や辞書攻撃がひっきりなしに行われている事を目にしているはずです。

参考ブルートフォース攻撃はあらゆるパスワードのパターンを試して不正ログインを試みる攻撃を指し「総当たり攻撃」とも訳されます。一方、辞書攻撃はパスワードに辞書に載っているような「よく使われそうな語句」を用いて不正ログインを試みる攻撃手法です。VPSを運用している以上これらの攻撃は必ず行われると思っていいでしょう。

そこでこの記事では管理画面（コントロールパネル）やSSH接続に対するVPS各社の不正ログイン防止機能を比較してみたいと思います。

Note作成したWebサイトのプログラム上のバグやアプリ設定の不備、フレームワークやOSライブラリの脆弱性に起因するセキュリティリスクに関しては、本記事の趣旨から外れるため扱いません。

Note 以下は 2022/02/27 時点での情報を基に記述しています。

二段階認証

現在最も強力な不正アクセス防止機能として挙げられるのは二段階認証機能です。

恐らく殆どの方は、VPSに限らず様々なWeb上のサービスにアカウントを登録しているはずです。また同じパスワードを登録しているサービスもいくつか出てくるものです。

そういった場合に、特に危険なのは不正アクセスや不正売買等で手に入れたアカウント情報（ユーザー名とパスワードのリスト）を用いてログインを試みる「アカウントリスト攻撃」です。複数のサービスでのパスワードの使いまわしは本人も気づかないうちに行っている場合も多くアカウント情報リストによる不正ログインには特に注意が必要です。

二段階認証ではユーザー固有のスマートフォンなどのデバイスを用いて認証を実施するため、たとえパスワードが分かっても第三者が認証を行うことは非常に難しくなります。そこで各社の二段階認証の対応状況と種類を以下の表にまとめてみました。

下表のようにWebARENA Indigo以外はいずれかの種類の二段階認証に対応しています。

VPS	Google認証アプリ	SMS	音声電話	メール
ConoHa VPS	〇	×	×	×
さくらのVPS	〇	〇	〇	×
お名前.comのVPS	×	〇	×	〇
カゴヤのVPS	〇	×	×	×
WebARENA Indigo	×	×	×	×

参考認証アプリには、Google以外にもMicrosoftなどのいくつかのアプリが利用されますが、調べた限りここで取り上げた会社のVPSではGoogle社製以外の対応は確認できませんでした。

Note二段階認証の認証方法には上記のように複数の種類がありますが、認証アプリによる認証以外はスマートフォンの電波が入らない場所にいると認証が行えません。場合によっては電波の入りにくい場所や地域でログインせざるを得ない場合も想定されるため、認証アプリが最も安心できる手法と言えるでしょう。

万が一不正ログインがあった場合でも、いち早くそれを知る事ができれば被害は最小限に抑えられます。そのためにはログイン時にその旨が毎回メールで通知されるログイン通知機能も意外に役立ちます。以下ではログイン通知機能の有無について表にまとめてみました。

下表のようにさくらとWebARENA Indigo以外はログイン通知機能に対応している状況です。