情報畑でつかまえてロゴ
本サイトは NTTテクノロスが旬の IT をキーワードに
IT 部門が今知っておきたい最新テクノロジーに関する情報をお届けするサイトです

特集記事

パスワードの安全性を考える。管理しやすく安全な認証システムとは?

パスワードに代わって利用が広がっている二段階認証や生体認証などの認証システム。情報漏えいを防ぐためには正しく理解して、目的に応じて的確に使い分けて活用することが欠かせません。現在主流となっている認証システムの特徴やメリットとデメリットを紹介します。

BizMail

「パスワードを定期的に変更しましょう」

多くのサービスやシステムで、このようにパスワードの変更が推奨されています。なかにはパスワードを変更しないと、強制的にサービスが使えなくなるケースも。しかし、パスワードの定期変更にはその効果を疑問視する声もあり、パスワードをただ定期的に変更しているだけでは安全とは言い切れません

一方で金融機関やクラウドサービス等で利用が広がっているのが、従来のIDとパスワードによる認証に加えて「ワンタイム・パスワード」や「生体認証」を用いる、いわゆる多要素認証とよばれる仕組みです。しかし、これらの仕組みは必ずしも広く一般的に用いられているわけではありません。

今回は、IDとパスワード以外の代表的な認証方式について、その特徴やメリット、注意すべき事項などを紹介します。なりすましによる情報漏えいや不正アクセスに強い情報システムを構築するためには、それぞれの認証方式の特徴を正しく理解して、目的に応じて的確に使い分けて活用することが欠かせません。

なぜ、いま新しい認証システムが求められているのか?

なぜ、いま新しい認証システムが求められているのか?

まず、パスワードの定期変更にはどのような意味があるのでしょうか。定期変更によって正しいパスワードを知っている人が自分だけに限られるならば、安全性は高まっているように感じられます。しかし、ここには一つの落とし穴があります。

それは、人間の記憶力には限界があるという単純な事実です。多くのシステムでは、定期変更時に過去のパスワードの使い回しを禁止しています。そうすると利用者は毎回新しいパスワードを考えなければなりません。システムが一つならまだしも、複数あればそれぞれに異なるパスワードを、しかも英数字を組み合わせて類推されにくいランダムさをもったパスワードを考える必要があります。果たしてそんなにたくさんの複雑なパスワードを覚えられるのでしょうか?

答えはNoです。実際に多くの利用者は、別のシステムのパスワードを使い回したり、過去のパスワードに一文字を付け足したりするような簡単なパターンで済まそうとします。その結果、利用者にとってパスワード管理は楽になるかもしれませんが、同時に攻撃者にとっても推測しやすいパスワードが蔓延します。これでは逆効果です。

そもそもパスワードが安全に管理されていることが確実であれば問題ないのですが、近年はサービスサイトへの攻撃や巧妙なフィッシングサイト等、利用者が注意しているだけではパスワードの漏えいを防ぎきれないケースが後を絶ちません。ここにパスワード以外の認証方式、そして多要素認証が必要な理由があります。

代表的な認証方式と多要素認証

では、現在広く使われている認証方法について、従来のパスワード方式とは異なるそれぞれの特徴をみていきましょう。

ワンタイムパスワード

ワンタイムパスワードは、「タイムスタンプ方式(時刻同期方式)」と「チャレンジ・レスポンス方式」の2つに大別できます。

タイムスタンプ方式は、ネットバンキングで利用される「トークン(パスワード生成機)」などに採用されている方式です。トークンに表示される時間とともに変化する数字を利用して認証を行います。ユーザは、自らのIDとトークンに表示される数字を入力、アクセス時刻と入力された数字の組み合わせから、正規ユーザのログインであることを判別する仕組みです。

チャレンジ・レスポンス方式は、ユーザとサーバのやり取りによって認証する仕組みです。ユーザがサーバに送ったアクセス要求に対して、サーバ側が「チャレンジ」と呼ばれるランダムな文字列を送り返します。ユーザがこのチャレンジに基づいて、事前に共有している関数などを使って算出したパスワード(レスポンス)を送信すると、ログインできるようになります。

生体認証

指紋や静脈、署名、虹彩、声紋などの身体的な特徴や動作の特徴を利用して認識する方法です。ユーザがあらかじめ生体情報を登録することで、それがユーザ本人であることを特定するための情報として利用できるようになります。以降はパスワードを入力することなく、生体情報を使ってログインすることが可能になります。iOSやAndroid等のスマートフォンに採用されたことで、広く身近で使われるようになっています。

その他の認証方式

ワンタイムパスワードや生体認証に加えて、電子証明書を用いたクライアント証明書認証、端末固有の情報を用いた端末認証、画像パターンを用いたマトリクス認証などが広く使われています。また、最近では利用者の行動(アクセス時間、地域、IPアドレス、GPS情報など)を認証に応用する例も登場しています。

さらに、「M-Pin」や「FIDO」といった新しい方式も注目されています。M-Pinは、端末に予め配布された鍵データと利用者の記憶といった複数の暗号化技術を組み合わせることによって、一度の認証で2要素認証を行えることが特徴です。FIDOは、デバイス上の指紋センサーなどを使って本人確認を実施した後、本人確認の結果をサーバに送信して認証を実行する方式です。本人確認と認証を分離することで、認証に必要な情報(指紋などのバイオメトリクス情報)はデバイス側のセキュアチップに保存されたまま外部には送信されない仕組みを実現しています。

多要素認証

多要素認証とは、ID・パスワードによる認証と同時に、あるいは認証後にその他の方式による認証を求める認証方式の総称です。一般的には、利用者の記憶(パスワードやPINなど)に基づく「記憶」要素、利用者が所有しているワンタイムパスワードのトークンや乱数表などの「所持」要素、そして利用者の身体や行動に基づく「生体」要素の3つの要素のうち、2つ以上を組み合わせます。

では、どのような認証システムが望ましいのか?

では、どのような認証システムが望ましいのか?

認証はセキュリティ対策として最も基本的な入口であると同時に、利用者の使い勝手を左右する重要な接点でもあり、情報システムの評価に直結します。企業内を対象に検討するのであれば相当な数のシステムが対象となるでしょうから、そのような場合はシングルサインオンと組み合わせて利便性を損なわない仕組みを考えるべきでしょう。認証を一箇所に集約し、そこで安全な認証を確実に実施する。これによりシステム全体の認証強度を高い水準に統一することができます。

また、近年はクラウドサービスを業務で使うケースも増えています。いくつかのクラウドサービスでは独自に二要素認証が設定できるものもありますが、それぞれ個別に設定してしまうと利用者の管理が煩雑になり、利便性が低下するおそれがあります。その場合、SAMLやOpenID Connectといったクラウドサービスでも標準的な技術を利用してシングルサインオン環境を構築することが可能です。先ほど述べた社内の認証システムとの連携も可能ですので、費用対効果を考えながら必要に応じて導入を検討するのもよいでしょう。

*本ページに記載の会社名・製品名などの固有名詞は、一般に該当する会社もしくは組織の商標または登録商標です。

BizNewバナー

参考:

連載シリーズ
特集記事
著者プロフィール
NTT-TX
NTT-TX