セキュリティ強化に向けた選択
「パスワードのない世界」でクラウドを守る――注目されるオープン規格（1/2 ページ）
パスワードによるユーザー認証は、多くの問題に見舞われた長い歴史がある。本稿ではセキュリティの専門家が、クラウドでのユーザー認証にまつわる悩みが各種のオープン規格によってどう解決できるのかを解説する。
FIDO公式サイト《クリックで拡大》
クラウドサービスは企業にとって評判の良い効果的な選択肢であることが実証されている。だが、人気が高まるにつれて、クラウドサービスがハッカーの標的になることも増えている。
多くのクラウドサービスプロバイダーは、ユーザー名とパスワードの組み合わせを利用してユーザーを認証している。これは、他のサービスでも同様だ。この方法の問題点は、無防備なユーザーがフィッシング攻撃の標的になりやすいことである。
パスワードによる認証はもう限界
筆者がセキュリティの専門家としてフィッシング攻撃のテストを行ったとき、テスト対象となった従業員の約半数がフィッシングメールの指示に従い、知らないうちに自分のユーザー名とパスワードを明かしてしまうことが判明した。たった1人のユーザーがフィッシング攻撃にだまされるだけで大規模な損害が生じることは言うまでもない。そのユーザーがクラウド管理コンソールへのアクセス権を持っている場合は、特に損害が大きくなる。
クラウドでのユーザー認証のセキュリティを強化するために、クラウドサービスプロバイダーはクラウドでのオープン認証規格の使用を支持している。例えば、米FIDO Allianceの「Fast IDentity Online（FIDO）」、米OASISの「Security Assertion Markup Language（SAML）」、米OpenID Foundationの「OpenID」などだ。これらの規格ではパスワードだけを頼りにすることはなく、パスワードなしの認証（生体認証など）や2要素認証（USBドングルをPCに接続するなど）を用いる。
最近、パスワードに関する深刻なハッキングについて耳にしない週はほとんどない。セキュリティ侵害の突破口として貧弱なパスワードを悪用するか、インターネット上のパスワードデータベースをハッキングして中身を公開するか、いずれかの事案が毎週のように発生している。クラウドのセキュリティでは、膨大な量のユーザーデータの安全を確保することが最重要事項なので、上述の新しいオープンな認証方式は大いに役立つ可能性がある。
クラウドでのオープン認証規格の仕組み
FIDOは認証専用の規格だ。FIDO最大のメリットは公開鍵暗号を利用していることにある。つまり、ユーザー認証の詳細情報がアプリケーションで保存されることもなければ、パスワードがサーバに送信されるように認証の詳細が送信されることもない。生体認証データはデバイス上にとどまり、サーバに保存されることはない。このメリットは過小評価すべきではないだろう。このメリットのおかげで、パスワードを標的にした重大な攻撃が途中で停止するのだから。例えば、サーバのデータベースをハッキングしてパスワードを吐き出させるような攻撃はこれで阻止できる。
SAMLは、通信にXMLを使用する異なるシステムだ。XMLを使用すると、任意のシステムと連係するように構成できる。SAMLは、一元管理されたストレージシステムを使用して資格情報を格納している。この仕組みにより、ハッカーが資格情報へのアクセスを得る機会は減少し、より簡単にシングルサインオン（SSO）機能を実現することができる。一方、OpenIDは一元管理された規格だ。OpenIDでは、ユーザーが中央システムに登録すると、OpenIDをサポートしている任意のWebサイトでユーザーの認証が可能になる。OpenIDのメリットは使いやすさである。そのため採用される機会は比較的多い。これはまた、Webサイトが自前で認証メカニズムを構築する必要がなくなることも意味する（自前で構築した認証メカニズムは貧弱な場合が多い）。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社うるる] 「入札市場」攻略ガイド：効率的に落札するためのポイントを徹底解説 -
製品資料
[株式会社うるる] 入札情報に特化した「販路拡大」「効率化」のためのサポートツールとは？ -
市場調査・トレンド
[株式会社うるる] 公共入札に成功する企業と失敗する企業の「5つの違い」 -
製品資料
[日本ビジネスシステムズ株式会社] 専門家が教える、Microsoft 365の「テナント統合／分離」を成功に導く秘訣 -
製品資料
[rakumo株式会社] Microsoft 365での情報埋没を防ぐ、社内ナレッジを資産化する情報ポータル活用
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
半数がブルーカラー転向を視野に？ ベテランエンジニアを追い込む“54歳の壁”
-
2
PHP脆弱性「PHP2Shell」で2260万件に影響 情シスの緊急チェックリスト
-
3
「Microsoft 365」が乗っ取られる MFAを破る“本物の画面”の恐怖
-
4
「テザリング依存」に潜む落とし穴 “遅いVPN”を解消するネット構築術
-
5
AI導入が失敗する“真犯人”は現場のマニュアル 7割が陥る「標準化」のわな
-
6
「Wi-Fi 7」経由でWindowsが乗っ取られる？ 最高権限奪取の恐怖
-
7
なぜ「Gemini 4 Argon」は出遅れたのか？ Googleが狙う“逆転のシナリオ”
-
8
「Windows」の不要なファイルを安全に消して容量を空ける方法
-
9
Claude利用8割のGMO、AI人材の評価軸が「トークン管理」に変わった
-
10
ライオンが脱レガシーシステムのパートナーに「Google Cloud」を採用した理由
ホワイトペーパーランキング PR
-
1
AI駆動攻撃にどう対抗する？ 超速の攻撃からエンドポイントを保護する方法
-
2
2026年のサイバーセキュリティには何が必要か？ 最新データに学ぶ傾向と対策
-
3
経験豊富な即戦力人材に直接アプローチできる、「攻めの採用」への転換術
-
4
「IT史に名を残すシステム障害」8選
-
5
最速72分でデータが流出？ 最新の脅威トレンドや侵入手法から分かった防衛策
-
6
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
7
Microsoft 365のメールセキュリティ、3つの“死角”と追加で検討すべき対策とは
-
8
AI駆動開発のスピードと安全性を両立 「品質・セキュリティ管理」の実践ガイド
-
9
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
10
「標的型攻撃メール」事例・サンプル集
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー