検証要素を1つだけ必要とする種類の認証の安全性を高めるには、複雑で予測しづらいパスワードを採用することだ。だが、そうすればユーザビリティーが犠牲になる。パスワードを複雑にさせ、業界標準の90～180日おきにそれを更新することを要求する。こうした状況は、パスワードだけではセキュリティとユーザビリティーを同時に満たせないことを表している。

　「非常に複雑なパスワードを作成して記憶するようユーザーに求めるIT部門は、仕事をしているとはいえない」と指摘するのは、金融機関Fannie Mae（連邦住宅抵当公庫）でサイバーセキュリティマネジャーを務めるドン・ドゥスーザ氏だ。

　現在のITプロフェッショナルは、パスワードを補完するため、生体認証や暗号化手法を利用する2要素認証に目を向けている。FIDO Allianceは、現在の形式のパスワードを完全に排除する2要素認証を推進している。

　マクダウェル氏は、認証方式を以下の3つのカテゴリーに分類する。

• 従来のパスワードやPINなど、記憶する方式
• モバイルデバイスやトークンなど、所有する方式
• 生体認証手法を含め、音声、指紋、ジェスチャー認識など、ユーザー本人を示す方式

　FIDO Allianceでは、上記の中でも後半2つのオプションに切り替えることを推奨している。「狙いは、ユーザーがもたらす脆弱性を取り除くことにある」（マクダウェル氏）

　パスワードの自主管理をユーザーから取り除くと、多くの場合、セキュリティが強化される可能性がある。フィッシングの場合は特にそれが当てはまる。ユーザーがフィッシングメールに引っ掛かったとしても、2要素認証が正しく機能していれば、アクセスに暗号や生体認証を利用できないハッカーは、そのユーザーの認証を悪用できない。

　「単一要素認証としてユーザーパスワードを使用する場合、フィッシングに対する実際の防御策はテストと教育以外にない」（ドゥスーザ氏）

新たな種類の認証を使うメリット

　新たな種類の認証を追加すると、特権アクセス管理（PAM）やユーザー情報を最新に保つ作業に関して、IT部門の負担が増大する。だが、パスワードから完全に脱却すれば、認証情報にアクセスしただけでは不十分なため、そのような情報へのアクセスを試みるハッカーについてIT部門が悩む必要はない。また、アカウントにアクセスする権限を減らすメリットもあると話すのは、General Electric（GE）で技術主任を務めるケン・ロバートソン氏だ。

　強力な種類の認証を適切に利用すれば、IT部門はこれまで以上に安心して、単純な管理業務をユーザーに引き継ぐことができる。その際は、アクセスをユーザーのデスクトップPCに制限するのが肝要だ。ただし、ITプロフェッショナルはアクセス権の管理を手放すことには前向きになれないかもしれない。

　「一般に、パスワード管理はPAMプログラムから開始する。だが、ログオンを制限することで、脆弱性は最小限に抑えられる」（ロバートソン氏）

　企業は、パスワードを含まない多要素認証に切り替えているが、こうした変化はすぐには表れないだろう。

　「この先数年で、さまざまなシステムで数多くの2要素認証を目にするようになるだろう。誰もがユーザーパスワードを制限する方向に目を向けている」（ドゥスーザ氏）