インターネットが普及した今、当該組織に属さない外部者がいたずら目的、あるいは情報の盗難やシステムダウンを企図するなど、悪意を持ってさまざまな手段でシステムへの不正ログイン（なりすまし）を試みるケースが増えてきた。以下の攻撃は、その代表例だ。

• アカウントリスト攻撃：漏えいまたは不正に入手したID／パスワードのリストを使ってログインを試行
• ブルートフォース（総当たり）攻撃：特定のIDに対して、理論的にあり得る全てのパスワードでログインを試行
• フィッシング詐欺：偽サイトでID／パスワードといった情報を不正に取得

　こうした外部からの侵入に対しては、ID／パスワードによるシステムの認証方式では十分に対処できない。ID／パスワードに代わる認証方式が多く考案・開発されてきているのはこのためだ。その例を以下に挙げよう。

生体認証（バイオメトリクス認証）

　指紋、静脈、虹彩など個人の生体を利用した認証方式が、バイオメトリクス認証とも呼ばれる生体認証だ。冒頭のストーリーに出てくる、静脈や虹彩を使った認証方式がこれに当たる。生体認証には、生体の各部分を読み取る装置である「リーダー」が必要だ。こうしたこともあり、現在はデータセンターへの入退室など高度なセキュリティが求められる施設の物理セキュリティに利用されるケースが多い。

ワンタイムパスワード

　毎回異なるパスワードを使用する仕組みが、ワンタイムパスワードだ。業務システムの他、オンラインバンキングなどコンシューマー向けサービスの認証強化に、ワンタイムパスワードが利用される動きが広がっている。

図1　ハードウェア型トークンの例。ワンタイムパスワードを液晶部分に表示する

　ワンタイムパスワードには幾つかの方式があり、一般的なのは「タイムスタンプ方式」である。パスワードを生成する「トークン」という機器をエンドユーザーに配布。認証時には、トークンにひも付けられたIDと、トークンが生成したパスワードをサーバに送信する。パスワードは時刻の経過と共に変わり、サーバ側では受け取ったID／パスワードとサーバ時刻からその正当性を検証する。トークンは、USBメモリやICカードといった形を取るものが多い（図1）。

リスクベース認証

　ログインしてきたエンドユーザーの環境を分析し、リスクを判断して追加の認証を要求する仕組みがリスクベース認証だ。経由したプロバイダーやIPアドレス、Webブラウザ情報などから「リスクあり」と判断した場合、追加の認証を実施。あらかじめ登録しておいた質問に回答できるかどうかといった仕組みで認証する（図2）。

図2　リスクベース認証の例。事前登録時から端末のOSやIPアドレスといった環境が変わっていた場合、追加の認証を要求して安全性を高める

　特に、外出先から社内の業務システムへアクセスするリモートアクセスなどのセキュリティ強化に、リスクベース認証が役立つ。その他、オンラインバンキングをはじめとするコンシューマー向けオンラインサービスでも利用が広がりつつある。

多様化する認証手段

　ID／パスワードと他の認証手段を組み合わせて認証する「多要素認証」を採用する企業も少なくない。ID／パスワードでのログイン後に、携帯電話などに送られてきた認証コードを入力する2段階認証もその一種だ。この仕組みは、米Googleのオンラインメールサービス「Gmail」といったコンシューマー向けサービスも利用しており、なじみのある人も多いだろう。

　冒頭でも紹介したFIDOも、生体認証を生かした2要素認証を考慮に入れている。認証関連の米業界団体FIDO Allianceが2014年12月に公開したFIDOは、認証情報をサーバに送信せず、クライアント側で認証する新しい認証仕様だ。上述した生体認証をはじめとする認証手段とID／パスワードを組み合わせた2要素認証に加え、ID／パスワードを使わない認証方法も規定している。

　FIDO Allianceには、Microsoftや米Googleといったベンダーだけでなく、米Visaなどのユーザー企業も含め、各業界へ強い影響力を持つ企業がメンバーとして名を連ねる。今後の動向に期待したい。

“ID／パスワード以外”にはハードルが

　このように、ID／パスワード以外の認証手段は充実しつつあるものの、業務システムに適用するには依然としてハードルも多い。生体認証にしてもワンタイムパスワードにしても、エンドユーザー側に追加のハードウェアやソフトウェアを用意する必要があることが理由の1つだ。

　多要素認証を実現するにも、サービス提供サイドに新たな仕組みを構築する必要があり、決して容易ではない。金融機関では従業員のクライアントPCのログイン時に多要素認証を導入するところは珍しくないが、一般企業での導入はこれからといった状況だ。

“ID／パスワード限界論”の前に現状を再考する

　もう一度ID／パスワードに視点を移そう。上述の通り、ID／パスワードを取り巻く課題は少なくない。ただし、それだけを理由に「ID／パスワード認証の時代は終わった」と判断するのは早計だ。実際、適切に運用すれば一定の安全性を確保できることは、ID／パスワード認証が長く認証手段のデファクトスタンダードとして君臨してきた歴史が証明している。

　そう考えると、“パスワード限界論”が叫ばれる一方で、そもそもID／パスワードが適切に運用されているのだろうか、という疑問が湧く。その実態を探るのに興味深い調査がある。情報処理推進機構（IPA）が2014年、アカウントリスト攻撃の多発を受けて実施した「オンライン本人認証方式の実態調査」の報告書がそれだ。

　IPAの報告書によると、オンラインサービスに利用するパスワードの条件として「英字、数字、記号を組み合わせた文字列であること」「文字数は8文字以上であること」を挙げた回答者はそれぞれ約7割に達した。多くのエンドユーザーが、複雑なパスワードの必要性を意識していることが分かる。

　だが実際の実践状況となると、状況は一変する。オンラインバンキングやECサイトといった金銭に関連したオンラインサービスについて、自分や家族の名前にちなんだ文字列、誕生日にちなんだ文字列を利用した、推測しやすいパスワードを設定しているとの回答はそれぞれ2割近くあった。ランダムな英数字を組み合わせた複雑なパスワードを設定しているとの回答も26.8％あったものの、約7割が複雑なパスワードが必要だと認識していることを考えると、理想と現実の間に大きなギャップがあると言わざるを得ない。

　アカウントリスト攻撃が成功してしまう主な原因であるパスワードの使い回しについても、状況は決して良くない。先のIPAの調査では、金銭関連のオンラインサービスであっても、他のオンラインサービスと同一のパスワードを使い回しているという回答は25.4％に上った。

　パスワードの使い回しは、なぜ起こるのか。IPAの調査では、全ての回答者にパスワードを使い回す理由を聞いたところ、「忘れてしまうから」という回答が64％でトップとなった。これはオンラインサービスに対するアンケートだが、業務システムへのログインに使うパスワードでも同様の結果になることは想像に難くない。忘れてしまうことを理由にパスワードの使い回しを放置するには、あまりにもリスクが高い。

パスワード管理の効率化が問題解決の鍵に

　こうした状況を踏まえると、かねて言われていることとはいえ、パスワードのポリシー設定と運用を見直す余地はまだありそうだ。ちなみに筆者が所属するノベルは、パスワードの文字列は複数の文字種の組み合わせにするよう規定しており、パスワードは3カ月ごとの変更を求めている。変更をしない従業員にはメールを配信するなどで変更を促す。

　一方で、安全性を高める目的で規定したパスワードポリシーの複雑さが、結果としてパスワードの使い回しをはじめとする問題を招くのではないか、という声があるのも確かだ。従業員にとって、ポリシーに合致するパスワードを作成し、記憶し、定期的に変更するのは決して容易なことではない。管理者にとっても、従業員のパスワードがポリシーに準拠するように対処したり、変更を促す作業負荷は無視できない。

　こうした状況に対処する方法は、決して皆無ではない。1つのパスワードで複数のシステムへのログインを可能にする「シングルサインオン（SSO）製品」を導入すれば、従業員が覚えるべきパスワードの数を減らすことができる。パスワードポリシーの強制やパスワードの変更作業の効率化機能を備えた「統合ID管理製品」を利用すれば、管理者の負荷も軽減できる。ID／パスワード認証を引き続き中心的な認証手段に据える企業にとって、こうした製品の導入を検討する価値はあるはずだ。

内部脅威や法制度に備える認証の在り方

　現状のセキュリティ脅威や法制度も、認証の在り方に変革を促す。セキュリティ脅威の点でいえば、外部からの攻撃に加えて、企業の内部管理者によるシステムへの不正アクセスや、それに伴うデータ漏えいの危険性も、認証の今後を考える上で重要な要素となる。内部犯行の脅威は以前より指摘されてきたにもかかわらず、最近でも大きな情報漏えい事故が発生しているなど、収まる気配がない。

　悪意を持った内部関係者による犯行の発生を防ぐのは難しい。従業員への教育や啓発といった人的対策ももちろん必要だ。それに合わせて、アクセス制御製品でデータベースの権限管理を強化したり、ネットワーク監視製品で不審な挙動を迅速に検知できるようにするといった技術的な対策も並行して進める必要がある。

　内部犯行の抑止力として一定の効果が見込めるセキュリティ製品も存在する。OSの管理者権限アカウントである「Administrator」「root」といった特権IDのライフサイクルを管理する「特権ID管理製品」は、特権IDの払い出し、使用証跡の保存、リスク分析などの機能を備える。さらに、特権IDの権限を最小化し、特権IDを利用するユーザー（特権ユーザー）の振る舞いを制限する「特権ユーザーアクセス制御製品」もある。

マイナンバーも認証を見直す好機に

　法制度の点では、2016年1月に始まる社会保障と税の共通番号（マイナンバー）制度も、認証の在り方に影響を与える。2015年10月から自治体から個人へのマイナンバー配布が始まり、2016年1月からは税務申告時や社会保険関係の手続き時にマイナンバーの提出を求める。

　マイナンバーを取り扱う必要があるのは自治体や官公庁だけではない。証券会社や保険会社といった金融機関は、保険金の税務処理時にマイナンバーを記載する必要があるなど具体的な実務が生じる。さらに2018年には、預金口座にもマイナンバーを付番して資産を把握できるようにする予定だ。

　他の組織も、従業員やその扶養家族のマイナンバーを取得し、保管しておく必要がある。給与所得の源泉徴収票や社会保険の被保険者資格取得届などに記載するためだ。マイナンバーはさまざまな個人情報とひも付けられた番号であり、その取り扱いには厳格な管理が求められる。

　マイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）は組織に対して、安全管理措置を講ずることを求めている。漏えいには罰則規定も設けており、対処は待ったなしだ。

　組織向けのガイドラインである「特定個人情報の適正な取扱いに関するガイドライン（事業者編）」は、組織が取るべき技術的安全措置として、アクセス者の識別やアクセス制御と並んで認証を挙げている。行政からの要請であるマイナンバーへの対処は、避けて通れない。これを機に認証の在り方を見直す動きが活発化すると考えられる。

　次回以降では、前述した新しい認証技術の詳細に加え、スマートフォン／タブレットといったモバイル端末の利用に当たって考慮すべき認証の課題などを紹介していく。