Bizコンパス

パスワードだけでは生き残れない!「多要素認証」の時代が到来
2019.08.30

セキュリティ最前線第2回

パスワードだけでは生き残れない!「多要素認証」の時代が到来

著者 すずきひろのぶ (鈴木裕信)

「多要素認証」とは、これまでのようにパスワードのみだけではなく、複数の「要素」を用いて認証を行う方法である。7pay事件では「二段階認証」という言葉が一般紙の紙面にもあらわれたが、正しくは「二要素認証」でなくてはならない。

 では、「二段階」と「二要素」の違いは何だろうか?また、ショートメッセージサービス(SMS)や電話自動音声を組み合わせた「認証」を組み入れるのに問題がないのだろうか?指紋や静脈認証あるいは顔認証はパスワードを代替するのだろうか?

 

多要素認証とは何か

 「多要素認証」とは、文字通り複数の要素を使って認証を行うことで、たとえ1つの認証方法が突破されても、他の異なる方法を用意することで防ぐ方法であり、安全性がさらに高まるのはいうまでもない。その要素とは、次の3つの認証方法である。

・知識認証 (WYK; What You Know)
・所有物認証 (WYH: What You Have)
・生体認証 (WYA: What You Are)

 知識認証(WYK)は、パスワードなど「あなたが知っている情報」によって認証を行う。所有物認証(WYH)は、ICカードなど「あなたが持っているモノ」によって認証を行う。生体認証(WAY)は指紋や静脈パターンなど「あなた自身であること」によって認証を行う。複数の要素を使うことで1つの認証方法に脆弱性があっても、他の要素がさらに守ってくれることになる。攻撃者が認証を突破するためには、複数の方法を同時に攻略する必要があるので、認証をだますことはむずかしくなる。

 「二要素認証」とは、上記の認証方法の2つを使って認証することを表す。

 

「二段階認証」と「二要素認証」は何が違うのか

 一方で二段階認証は、言葉の通り解釈すれば、二回認証を行えば良いということになる。Googleは二段階認証のことも二要素認証のことも「2-Step Verification」と呼んでおり、同じ意味で扱っている。

 しかし、形式的に二回認証を行えば良いということだけになると、第一パスワードを要求し、さらに第二パスワードを求めるといったものも「二段階認証」になる。もちろん、これは1つの長いパスワードを2つに切って使ったに過ぎない。1つの要素のみ使っていることになる。短いパスワードより長いパスワードの方が安全は安全であるが、パスワードが漏れてしまえばアウトだ。

 残念なことにパスワードを盗む方法は多種多様にあり、それ以外にもサイトからのパスワードの流出は後を絶たない。またユーザーがつける弱いパスワードを拒否するシステムならばまだ良いが、ユーザーに任せると「12345678」や「mypassword」のような文字列選んでしまい本来のパスワードの役目を果たせない現状がある。冗長だからといってパスワード認証の安全性が確実に増すわけではない。

 繰り返しになるが、二要素認証とは、知識認証、所有物認証、生体認証から2つを組み合わせて使う認証方法である。たとえばパスワードと指紋の2つを使う場合、知識と生体を使うので二要素である。ワンタイムパスワードを生成するセキュリティ・トークンとパスワードの2つを使う時も二要素である。顔認証とワンタイムパスワードを生成するトークンを使う時も二要素である。このように複数の異なる要素を使う時に「多要素認証を使った」といえる。

 以前よりオンライン・バンキングでは、ワンタイムパスワードを生成する専用のセキュリティ・トークンを使っているケースが当たり前になっている。最近ではスマートフォンのアプリでも時間同期型ワンタイムパスワード生成アプリが用意されている。その中でも「Google認証システム」アプリは、Googleのアカウントへのログインの際に使われるだけはなく、TwitterやFacebook、国内ではさくらインターネットなどのログイン認証でも利用している。

 それ以外にもパスワードで認証した後に、SMSや音声電話で所有するスマートフォンに数桁の数字を通知し、その通知した数字の入力をもって2段階目の認証とするシステムも広まっている。

 もしパスワードが何らかの理由により流出していても、実際の「モノ(この場合は、スマートフォンでありワンタイムパスワードを生成するセキュリティ・トークン)」が手元になければ認証できない。

 たとえば、PCやスマートフォンに感染したマルウェアによって盗まれたパスワード、どこかに登録していたサーバーから何かのきっかけで流出してしまったパスワード、あるいはブルートフォース攻撃や辞書攻撃により突破できるほど弱いパスワード、といったものであれば、地球の裏側からでも不正にログインできてしまう。しかし、手元にある認証に利用するハードウェアがなければ、地球の裏側からログインするのはむずかしい。

 

生体認証を過信するなかれ

 指紋や静脈パターン、あるいは顔認証など「生体の特徴を使って認証」する方法である。今日ではパソコンやスマートフォンでも指紋認証の機能や、あるいは銀行のATMでも指の静脈パターンを使う生体認証が用意されており、既に身近なものになっている。

 しかし、この生体認証を使うにしても「多要素認証」が必要である。

 そもそも生体認証は、パスワードのように一致するかしないか、という「1」か「0」といった判定にはならず、本人拒否率(False Non-Match Rate)や他人受入率 (False Match Rate)といった誤判定も含めての確率的な判定である。厳しくすればするほど確実性は高まるかも知れないが、今度は本人であってもなかなか認証してくれずに、途方に暮れるかも知れない。

 それだけはなく指紋や静脈パターンをだます方法は以前より知られている。… 続きを読む… 続きを読む

続きを読むには会員登録が必要です

すずきひろのぶ (鈴木裕信)

すずきひろのぶ (鈴木裕信)

80年代よりUNIXやネットワークのエキスパートとして活躍し90年代よりコンピュータセキュリティに携わる。現在は業務アプリケーションにSELinuxを適用し安全性を高める研究に従事。近著「マジメだけどおもしろいセキュリティ講義 事故が起きる理由と現実的な対策を考える (Software Design plusシリーズ)」絶賛発売中

関連キーワード

SHARE

あなたへのおすすめ