スマートフォンでは10年以上も前から数字を使った暗証番号をサポートしてきたが、ユーザーによる採用は下火になってしまった。米Appleの指紋認証技術「Touch ID」の効果について、米コンサルティング企業Champion Solutions Groupが調べた2015年の調査では、「iPhone」ユーザーの20％以上が依然として「PIN（暗証番号）は使いにくい」と回答した。従業員に対し、モバイル端末で最低でも数字とアルファベットの両方を組み合わせた英数字のパスコードを使うことを義務付けていない企業は30％に上る。

　暗証番号や英数字のパスコードは簡単にアクティベートできる半面、比較的脆弱でもある。その一因は使われ方にある。ユーザーは暗証番号やパスコードを複数の端末で使い回す傾向にあり、そのためにリスクが増大する。英数字のパスコードは破られにくいものの、「123456」「password」といった簡単に推測できてしまうパスコードを選ぶユーザーがあまりに多い。実際に2011年の調査では、iPhone 7台のうち1台は、上位10種類の暗証番号を試しただけでロックを解除できてしまうことが分かった。

　以上の理由から、モバイル認証のベストプラクティスとして、パスコードの設定と利用義務付け、長くて複雑なパスコードの義務付け、端末のデータが自動的に消去されるまでのパスコード入力回数の上限設定が挙げられる。こうしたポリシーがあればパスコードは推測されにくくなり、推測を繰り返される事態も防げる。

　メーカー各社はまた、モバイル端末の認証強化策もサポートしている。例えば「iOS 9」では4桁ではなく6桁のパスコードがデフォルトになり、可能な組み合わせ数は1万通りから100万通りに増えた。それでもブルートフォース攻撃を仕掛けてパスコードを見つけ出し、それを使ってロックがかかった端末にアクセスすることは可能であり、パスコードが4桁の場合は、わずか数時間でそれができてしまうこともある。だがパスコードを4桁から6桁にアップグレードすることによって、パスコード破りにかかる最大日数は約4日から、400日以上へと増大した。

生体認証と多要素認証

　暗証番号やパスコードに代わって人気が上昇しているのが生体認証だ。

　「Android」は数年前、モバイル端末のカメラと顔認識技術を使ってユーザーをスキャンし認証する「フェイスアンロック（Face Unlock）」で生体認証の導入に乗り出した。Face Unlockの初期のバージョンはエラーが多く、だますのも簡単で、認証されたユーザーの顔写真さえあればロックを解除できてしまうこともあった。同機能は改善されたものの、採用は進んでいない。

　それに比べると、「iPhone 5s」で導入されたAppleのTouch IDは成功を収めた。Touch IDは端末だけでなく、個々のアプリのロックも解除できる。Androidも最新版ではアプリレベルの指紋認証に対応した。

　Touch IDではユーザーがiOS端末の電源を入れ直した時などに、パスコードの入力が必要になる。言い換えると、Touch IDは多要素認証の1形態であり、パスコードという自分の知識と、指紋という自分自身の組み合わせといえる。

　これによってTouch IDは、単独で使った場合に比べてセキュリティを高めている。だがロック解除時にはユーザーが指紋認証を飛ばしてパスコードを入力することも可能だ。従って、結局のところTouch IDの方がパスコードに比べて安全性が高いとは言い難く、Touch IDのユーザーが強固なパスワードを選ぶことの重要性に変わりはない。Touch IDでは、ユーザーがパスコードをそれほど頻繁に入力する必要がなくなるため、長い複雑なパスコードがそれほど苦にならなくなる。

　パスコード（自分の知識）か生体情報（自分自身）のいずれかをモバイル端末自体（自分の持ち物）と組み合わせることで、端末やアプリケーションは真の多要素認証を要求することができる。

　この場合、何者かがスマートフォンを盗んだとしても、持ち主のパスコードか指紋がなければ認証を成功させることはできない。誰かがパスコードを知っていたり、持ち主の顔写真を撮影したりしたとしても、スマートフォンがなければ認証はできない。多要素認証のオプションでは、ログイン情報共有の問題を克服でき、ブルートフォース攻撃に対する耐性も高まる。

　スマートフォンをトークンとして使うこのアプローチは、多要素認証の1つの形態にすぎない。他にも暗証番号をSMSで携帯電話に送信する方法や、パスワード生成アプリをモバイル端末で実行する方法などがある。米調査会社Gartnerによれば、こうした認証手段は大きな成長が見込まれ、専用ハードウェアトークンの市場に食い込む見通しだ。

今後の展開

　モバイル端末認証は今後も進化を続けるだろう。ウェアラブル端末は、至近距離でスマートフォンのロックを解除できるハードウェアトークンとして浮上し始めている。ユーザーの位置情報などのコンテキスト情報も、認証のための要素として取り込まれつつある。オンライン認証技術の標準化を進める業界団体「FIDO（Fast IDentity Online） Alliance」のような取り組みも、ユニバーサル認証フレームワークの採用を加速させるだろう。

　モバイル認証は端末のロック解除を越えて、急速にモバイルエンタープライズやモノのインターネット（IoT）のロック解除の基盤になりつつある。