パスワードレスとは
なぜ「パスワード（PIN、暗証番号なども含む）」が多くの製品で採用されているのでしょうか？
それは認証用ハードが不要で管理運用負荷を抑えられることから、費用が安く利便性が高いという「知識認証」ならではの特性があるため、あらゆるサービスにパスワードが利用されてきた背景があります。
しかし、サービスの増加に伴いユーザーが保有する「パスワード」が増えたことで、簡単で推察されやすいパスワードや同じパスワードの使いまわしなどでパスワードを管理するユーザーが増えました。このような管理をされているパスワードはサイバー攻撃の対象にされることが多いため、近年ではパスワードの利用をやめる「パスワードレス」が叫ばれるようになりました。
パスワードレスを実現するには
パスワードレスを実現するために、知識認証以外の認証方式へシフトする方法と、知識認証自体の問題を解決してセキュリティ強度を上げる2つのアプローチが考えられます。
知識認証以外のパスワードレス
例えば、複製不可能な所有物（USBキー、SMSなど）を使う「所有物認証」がその一つです。
パスワードレスが実現できる一方で、在宅勤務が多くなった現在は、ご家族や友人が出入りする自宅で認証用ハードを管理することになるため、ユーザーの管理負担やセキュリティリテラシーが課題となっています。
他にも、指紋や顔情報を使う「生体認証」も多く聞かれます。しかし、生体認証には本人と間違えて他人をログインさせてしまう「他人受容」の問題は技術的に解決が難しいと言われています。さらに、より重要な個人情報である生体情報を取り扱うことから、万が一漏洩し悪用された場合の被害を懸念する声も世界的にあがっています。
知識認証のパスワードレス
記憶情報を使う「知識認証」でパスワードレスを実現する方法にデバイスレス・ワンタイムパスワードがあげられます。認証時に表示される乱数表からパターンに沿ってワンタイムパスワードを抜き出して利用する方法であり、強固なセキュリティレベルを担保する認証方式です。
なお、ワンタイムパスワードであるため、最大の課題とされるパスワードの使いまわしを解決しており、さらに知識認証に分類されることから価格や利便性のメリットもそのままにしております。また、この方法は認証用ハードを準備する必要がなく、ブラウザのみで使用できる点もメリットの一つです。
優れた知識認証
「知識認証」はその使い勝手の良さから「所有物認証」や「生体認証」との組み合わせの相性が良い認証方式です。
多要素認証とパスワードレスが求められる中で知識認証をいかに強化しつつ、どの認証要素と組み合わせて使用するかが今後の重要なテーマとなっております。多要素認証やパスワードレス化における知識認証の強化は従来型のパスワードではなく、デバイスレス・ワンタイムパスワードが一つの解決の糸口になりそうです。
認証要素の比較
| 認証要素 | 種類 | メリット | デメリット |
|---|---|---|---|
| 知識認証 | ・デバイスレス・ワンタイムパスワードなど | ・導入が簡単 ・専用の認証デバイスが不要 |
・パターンを覚える必要がある |
| 所有物認証 | ・USBキー ・SMSなど |
・記憶等の曖昧な要素が不要 | ・認証用ハードが必須 ・紛失時のコスト高 ・個人の管理が必要 |
| 生体認証 | ・指紋 ・顔情報など |
・本人を一意に特定 ・入力行為が楽 |
・生体情報の変更が不可 ・漏洩時の影響範囲が広範囲 |
デバイスレス・ワンタイムパスワードを提供している製品
デバイスレス・ワンタイムパスワードを提供している製品のひとつにPassLogic（パスロジック）があげられます。PassLogicは知識認証として使えるデバイスレス・ワンタイムパスワードをはじめ、所有物認証として使えるソフトウェアトークン、ハードウェアトークン、クライアント証明書が1サーバで利用できます。さらにシングルサインオンが可能となっており、PassLogicにログインをするだけで、Office365やSalesforceなどのクラウドサービスを使うこともできます。
デバイスレス・ワンタイムパスワードのしくみ
また、ソフトウェアを自社サーバにインストールしてオンプレミスとして利用することもできる他、AWSやAzureに構築しプライベートIDaaSとして利用することができます。
申し込み後すぐに利用を開始したい場合は、SaaS型で提供するPassLogic クラウド版がお勧めです。
利用の選択肢が多く、お客様のセキュリティポリシーに合わせたご利用が可能です。
関連リンク
