TechTargetジャパン
セキュリティ
情報漏えい対策
技術解説
“パスワードがない世界”が目前でも「パスワード使い回し」が大問題になる理由

クラウド時代の「認証」再考論【第1回】

“パスワードがない世界”が目前でも「パスワード使い回し」が大問題になる理由（2/2 ページ）

公開 2016年04月20日 08時05分

更新 2017年04月12日 19時52分

著者

渥美淳一

[ネットワンシステムズ]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

パスワードはまだなくならない

　こうした問題があるにもかかわらず、パスワード認証はあらゆるシステムで使用され続けている。一方で、パスワードを使わない認証方式も進化を続けている。中でも「生体認証」（指紋、顔、耳、音声などからエンドユーザーを判定する仕組み）は、基本的にはID／パスワードのように認証手段が漏えいすることはなく、パスワード認証よりも利便性に優れる。

　最近では、生体認証やPIN（暗証番号）認証を利用し、パスワードがいらない認証の仕組みを標準化する「FIDO（Fast IDentity Online）」のような動きがある。FIDOの仕組みは、生体情報やPINといった認証情報をシステム側で保管せず、エンドユーザー側のデバイスで保管する。そのためパスワードリスト攻撃のような大規模なリスクを回避しやすい。

　Microsoftの「Windows 10」が搭載する認証機能がFIDOに準拠しており、FIDOの知名度は今後高まることが予想される。ただし生体認証は専用デバイスが必要な場合も多く、利用シーンが限られることもあり、利便性やコスト面でまだ課題が残る。

　いつかパスワード認証に取って代わる認証方式が一般化する日がくるだろう。だが今すぐにパスワード認証がなくなるわけではない。今もなお、パスワード認証はワンタイムパスワードや電子証明書といった関連技術と併用して使われ続けている。少なくとも今は、上述したパスワードの問題から目を背けることはできないのだ。

パスワードの問題を解決する「フェデレーション」という選択肢

　ここまで、パスワードの使い回しがパスワードリスト攻撃のリスクを上げること、オンラインサービスでのパスワードのハッシュ化実施率が低いことを問題として挙げた。こうした問題に対処する根本的な方法は、そもそもオンラインサービス側にパスワードを保管しないことだ。そんなことが可能なのだろうか。

　実はそれを可能にする技術として「フェデレーション」がある。フェデレーションは、これまでオンラインサービス側が担ってきたパスワードの保管や認証を、他のシステムに任せる技術だ。そのシステムのことを「IDプロバイダー」と呼び、パスワードの保管と認証を一元化する。

　フェデレーションによる認証の流れはこうだ。エンドユーザーはオンラインサービスを利用する前にIDプロバイダーに認証してもらい、「トークン」と呼ばれる許可証を受け取る。そのトークンをオンラインサービスへ送ると、オンラインサービス側は受け取ったトークンが正しいものであるかどうかを確認し、問題がなければエンドユーザーのログインを許可する。オンラインサービス側からエンドユーザーへパスワードの入力を求めることはない。

　企業がフェデレーションによって得られるメリットは、IDプロバイダーだけでパスワードを管理すればよくなることから、従業員が覚えなければならないパスワードを減らせることだ。そのためパスワードを強固にしやすく、更新もしやすくなる。また一回の認証成功で複数のオンラインサービスへシングルサインオン（SSO）できるようになるので、従業員にとっての利便性も格段に向上する。

　次回は具体的な技術に触れながら、フェデレーションの実現方法を紹介する。

執筆者紹介

渥美淳一（あつみ・じゅんいち）　ネットワンシステムズ

10年以上にわたりロードバランサ製品、Webアプリケーションファイアウォール製品、DNSセキュリティ製品、認証製品などの提案、評価、検証、技術サポートを実施。現在は認証によるクラウドセキュリティ強化ソリューションの開発にも取り組んでいる。

印刷する

クラウド時代の「認証」再考論

クラウドサービスを中心とするオンラインサービスの普及やID／パスワード認証の“限界”が、企業の認証システムに見直しを迫る。認証に関する現状の課題を整理し、具体的な解決策を追う。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

渥美淳一

“パスワードがない世界”が目前でも「パスワード使い回し」が大問題になる理由（2/2 ページ）

パスワードはまだなくならない

パスワードの問題を解決する「フェデレーション」という選択肢

執筆者紹介

渥美淳一（あつみ・じゅんいち）　ネットワンシステムズ

クラウド時代の「認証」再考論

この記事の著者

関連記事

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

“パスワードがない世界”が目前でも「パスワード使い回し」が大問題になる理由（2/2 ページ）

パスワードはまだなくならない

パスワードの問題を解決する「フェデレーション」という選択肢

執筆者紹介

渥美淳一（あつみ・じゅんいち） ネットワンシステムズ

クラウド時代の「認証」再考論

この記事の著者

関連記事

ID／パスワード認証は本当になくなる？ 「パスワード限界論」の真実

「クラウド」「モバイル」の認証は今、どうなっているのか？

Windows 10も搭載、“パスワードのない世界”を作る「FIDO」とは？

「パスワードのない世界」でクラウドを守る――注目されるオープン規格

「パスワードのない世界」が急速に現実化、注目のFIDO Allianceが拡大へ

新着ホワイトペーパー PR

瞬時にM365が乗っ取られる――全社員に周知すべき“新フィッシング”の教訓

渥美淳一（あつみ・じゅんいち）　ネットワンシステムズ

ID／パスワード認証は本当になくなる？　「パスワード限界論」の真実