生体認証と多要素認証でセキュリティが向上

「Windows 10はパスワードなしでも安全」の謎　「Windows Hello」とは何か

米Microsoftの最新OS「Windows 10」では、生体認証と多要素認証によって、ユーザーは必要なリソースにより簡単かつセキュアな方法でアクセスできる。

公開 2015年09月01日 08時03分

著者

Brien Posey

[TechTarget]

印刷する

目で見たりタッチしたりするだけで認証可能な「Windows Hello」《クリックで拡大》

　米Microsoftの最新OS「Windows 10」をめぐっては、スタートメニューの復活など、ユーザーインタフェースの改善が注目を集めているが、このOSには企業ユーザーに必要なアプリケーションやデータへのセキュアなアクセスを実現するための新機能が幾つか含まれている。

　Windows 10のセキュリティ機能のうち、これまで最も多く報道されてきたのは、恐らく生体認証機能「Windows Hello」であろう。Windows Helloはパスワードなしで端末にログインできるようにするための機能で、指紋認証、顔認証、虹彩認証によるログインをサポートする。指紋スキャナを搭載するクライアントPCであれば、Windows Helloを使用できる。

併せて読みたいお薦め記事

Windows 10が実現する“パスワードのない世界”

新しい認証技術

　顔認証を使うには赤外線カメラが必要となる。現時点では必要なハードウェアを搭載する製品はごくわずかだ。Windows Helloをサポートする製品の大半は、米Intelの「RealSense 3Dカメラ（F200）」をシステムに採用している。虹彩認証にも特別なハードウェアが必要となるが、本稿執筆時点ではまだ具体的な要件は明らかになっていない。

Windows HelloとMicrosoft Passport

　Windows 10には、「Microsoft Passport」というセキュリティ機能も搭載される。Microsoft Passportは「フェデレーテッドシングルサインオン」を可能にするための仕組みであり、Windows Helloと連係して機能する。

　Windows HelloはそれだけでWindows 10端末のユーザー認証を行えるだけでなく、Microsoftのディレクトリサービス「Active Directory」の認証にも使える。だが、ユーザーが必要とするリソースが全てオンプレミスでIT部門の直接の管理下に置かれていたのは過去の話だ。今では、ローカルリソースの他、パブリッククラウドの仮想マシンで動作するアプリケーションやSaaS（Software as a Service）型アプリケーションにもアクセスするのが一般的だ。そこで役に立つのが、Microsoft Passportだ。Microsoft Passportを使えば、ユーザーは1回のサインオンでさまざまなWebアプリケーションやWebサービスにアクセスできる。

　シングルサインオン（SSO）には不安を感じる管理者もいるかもしれない。セキュリティ侵害が発生すれば、多様な社内リソースに攻撃者がアクセスすることを許しかねないからだ。ただし、Windows 10でのMicrosoft Passportの使用は任意である。また、Microsoft Passportは独自の多要素認証の仕組みを備える。

　多要素認証は何年も前から、さまざまな方式で提供されている。これは、複数の認証手段を組み合わせてユーザーの身元を証明するものだ。身元の証明には一般的にPINコードやパスワードなど「ユーザーが知っているもの」の他、スマートカードなど「ユーザーが所有しているもの」、あるいはユーザーの指紋など「ユーザーに固有のもの」が使われる。

　Windows 10では、Windows Helloが1つの認証要素を提供し、端末自体が別の認証要素となる。このアプローチは一見頼りなく感じられるかもしれない。Windows 10はデスクトップPCだけを想定したOSではなく、ノートPCやタブレットなどの端末でも動作し、小型の携帯端末は紛失や盗難に遭いやすいからだ。だが、Microsoftが考案した新しい認証方法は、どうやらパスワードを使うよりも安全性に優れているようだ。

　前述の通り、Windows Helloは1つ目の認証手段となる。ユーザーは生体認証かPINを使って端末にサインインできる。Windows Helloで素晴らしいのは、認証がローカル端末にのみ与えられる点だ。つまり、ユーザーの生体認証情報がネットワークやインターネット上を流れることは一切ない。

　いったんユーザーが端末に認証されると、今度はその端末がMicrosoft PassportやMicrosoft Passport対応のWebサイト、サービス、アプリケーションの認証に使われる。Microsoftはこの認証の仕組みについて技術的な詳細をまだ明らかにしていないが、恐らく端末はActive DirectoryかAzure Active Directoryに登録されることになる。いったん登録された端末はデバイスレベルの認証によって一意で識別される。

　では、複数のユーザーで1台の端末を共有するとどうなるのか。その場合、Windows Helloは複数のユーザーを区別できる。Windows Helloは端末のロック解除が主な機能だが、Microsoft Passportとも連係する。複数のユーザーで1台の端末を共有したとしても、Microsoft Passportはどのユーザーがログイン中かを認識し、現在使用中のユーザーが使用許可を持つリソースにのみアクセスを提供する。

印刷する