“パスワードがない世界”が目前でも「パスワード使い回し」が大問題になる理由（2/2 ページ）

公開 2016年04月20日 08時05分

更新 2017年04月12日 19時52分

著者

渥美淳一

[ネットワンシステムズ]

印刷する連載新着通知を受け取る

パスワードはまだなくならない

　こうした問題があるにもかかわらず、パスワード認証はあらゆるシステムで使用され続けている。一方で、パスワードを使わない認証方式も進化を続けている。中でも「生体認証」（指紋、顔、耳、音声などからエンドユーザーを判定する仕組み）は、基本的にはID／パスワードのように認証手段が漏えいすることはなく、パスワード認証よりも利便性に優れる。

　最近では、生体認証やPIN（暗証番号）認証を利用し、パスワードがいらない認証の仕組みを標準化する「FIDO（Fast IDentity Online）」のような動きがある。FIDOの仕組みは、生体情報やPINといった認証情報をシステム側で保管せず、エンドユーザー側のデバイスで保管する。そのためパスワードリスト攻撃のような大規模なリスクを回避しやすい。

　Microsoftの「Windows 10」が搭載する認証機能がFIDOに準拠しており、FIDOの知名度は今後高まることが予想される。ただし生体認証は専用デバイスが必要な場合も多く、利用シーンが限られることもあり、利便性やコスト面でまだ課題が残る。

　いつかパスワード認証に取って代わる認証方式が一般化する日がくるだろう。だが今すぐにパスワード認証がなくなるわけではない。今もなお、パスワード認証はワンタイムパスワードや電子証明書といった関連技術と併用して使われ続けている。少なくとも今は、上述したパスワードの問題から目を背けることはできないのだ。

パスワードの問題を解決する「フェデレーション」という選択肢

　ここまで、パスワードの使い回しがパスワードリスト攻撃のリスクを上げること、オンラインサービスでのパスワードのハッシュ化実施率が低いことを問題として挙げた。こうした問題に対処する根本的な方法は、そもそもオンラインサービス側にパスワードを保管しないことだ。そんなことが可能なのだろうか。

　実はそれを可能にする技術として「フェデレーション」がある。フェデレーションは、これまでオンラインサービス側が担ってきたパスワードの保管や認証を、他のシステムに任せる技術だ。そのシステムのことを「IDプロバイダー」と呼び、パスワードの保管と認証を一元化する。

　フェデレーションによる認証の流れはこうだ。エンドユーザーはオンラインサービスを利用する前にIDプロバイダーに認証してもらい、「トークン」と呼ばれる許可証を受け取る。そのトークンをオンラインサービスへ送ると、オンラインサービス側は受け取ったトークンが正しいものであるかどうかを確認し、問題がなければエンドユーザーのログインを許可する。オンラインサービス側からエンドユーザーへパスワードの入力を求めることはない。

　企業がフェデレーションによって得られるメリットは、IDプロバイダーだけでパスワードを管理すればよくなることから、従業員が覚えなければならないパスワードを減らせることだ。そのためパスワードを強固にしやすく、更新もしやすくなる。また一回の認証成功で複数のオンラインサービスへシングルサインオン（SSO）できるようになるので、従業員にとっての利便性も格段に向上する。

　次回は具体的な技術に触れながら、フェデレーションの実現方法を紹介する。