主要なパスワードレス認証方式として、次の3つが広く用いられている。

1．生体認証

　最も直感的なパスワードレス認証方式が、生体認証だ。具体的には指紋認証や顔認証などがある。

　企業にとっての生体認証の利点は、エンドユーザーに対する認証デバイス配備の容易さだ。既存のクライアントデバイスが指紋リーダーなどの生体認識装置を搭載する場合は、それをそのまま活用できる。Microsoftの「Windows Hello」やAppleの「Touch ID」「Face ID」などの生体認証機能は、コンシューマーデバイスの認証機能として既に普及しており、エンドユーザーへの研修を最小限に抑えやすい。こうした特徴から、中堅・中小企業など専任のIT担当者がいない企業にとっても生体認証は導入しやすくなっている。

　エンドユーザーがマスクや帽子を着用していたり、指をけがしたりと、認証手段とする生体に変化があった際、認証が失敗することがあるのが生体認証の課題だ。認証対象システムが、生体認証の成否を認証フローに取り込めない場合は、改修が必要になることがある。既存のクライアントデバイスが生体認識装置を備えない場合は、追加で調達しなければならない。

2．FIDO2準拠のセキュリティキー認証

　セキュリティキーを利用する主要なパスワードレス認証方式に、FIDO2準拠のセキュリティキー認証がある。エンドユーザーはFIDO2準拠のセキュリティキーをUSB端子や「NFC」「Bluetooth」といった近距離無線通信技術などを通じてクライアントデバイスに接続し、指紋やPINなどで認証する。認証用データはセキュリティキー外に出ないため、不正ログインのリスクを抑え、安全なログインを実現できる。

　エンドユーザーがPIN認証を8回連続で失敗した場合、FIDO2準拠のセキュリティキーは内部に保持する認証用データを自動的に消去する。外部からの物理解析によって認証用データを取り出すことを困難にする耐タンパー性も備える。

　公開鍵暗号方式を基盤とするFIDO2は、認証対象システムごとに一意の認証用データを利用し、加えてWebブラウザによる正規ドメイン検証により、フィッシングサイトでは認証が成立しないようにしている。この特性から、フィッシング攻撃の標的となりやすい金融機関や政府機関を中心に、FIDO2準拠のセキュリティキー認証の採用が進む。一方でセキュリティキーの導入・管理コストや、紛失時の代替手段の確保といった課題が残る。

3．スマートフォン認証

　スマートフォンの専用アプリケーションを利用するパスワードレス認証方式が、スマートフォン認証だ。専用アプリケーションの例として、Microsoftの認証アプリケーション「Microsoft Authenticator」や、OktaのIDaaS（Identity as a Service）「Okta Identity Cloud」のパスワードレス認証機能「Okta FastPass」などがある。エンドユーザーは、プッシュ通知の承認や専用アプリケーション内での生体認証によって、認証対象システムにログインできる。

　広くスマートフォンが普及したことによって、スマートフォン認証の導入障壁は低くなり、テレワーク主体の企業であっても選択しやすくなっている。モバイルデバイスを一括管理する「MDM」（モバイルデバイス管理）ツールとの併用で、企業の管理下にあるスマートフォンのみを認証手段として利用可能にするといった運用が可能だ。

　スマートフォン認証では、認証手段として登録したスマートフォンをエンドユーザーが紛失した際に、代替手段を用意していないと認証対象システムにログインできなくなるリスクがある。BYOD（私物デバイスの業務利用）を採用する企業では、私物スマートフォンに対するセキュリティポリシー統制が課題となる。

パスワードレス認証方式の選定基準

　どのパスワードレス認証方式を選ぶべきかを判断する際は、企業規模や利用するクライアントデバイス、認証対象システムを考慮することが、選定基準の一つとなる。従業員100人未満の企業には、生体認証を推奨する。特にクライアントデバイスのOSがMicrosoftの「Windows」中心の場合、標準搭載の生体認証機能であるWindows Helloを利用すれば、導入・管理コストを抑制でき、比較的早期に運用を開始しやすい。

　従業員100～500人規模で複数のクラウドサービスを利用する企業は、FIDO2準拠のセキュリティキー認証が適すると考えられる。認証手段をセキュリティキーに統一することで、運用管理の工数を削減できる。従業員500人以上の大企業で、BYODやテレワークが定着している企業は、スマートフォン認証が有力な選択肢になる。

パスワードレス認証の導入でつまずく主な課題

　企業がパスワードレス認証の導入時に直面する課題は、主に3つある。

　1つ目は「認証方式の選択」だ。上述した3つをはじめ、パスワードレス認証には複数の認証方式があり、IT担当者は判断に迷いやすい。

　2つ目は「既存システムとの連携」だ。パスワードレス認証は比較的新しい認証方式であり、パスワード認証を前提とした既存システムでは利用できない場合がある。パスワードレス認証を利用可能にするために認証対象システムの改修や設定変更が必要になったり、結果的にパスワード認証の併用が必要になったりすることがあり、IT担当者にとって導入のハードルとなる。

　3つ目は「段階的移行の複雑さ」だ。パスワード認証を併用しつつ、段階的にパスワードレス認証へと移行する場合、複数の認証方式を運用管理することになる。そのためIT担当者の業務が煩雑になりがちだ。

　それでも小さく始めて段階的に拡張することが、パスワードレス認証の導入を成功させるためには重要になる。まず特定部門で試験導入し、利用状況と課題を把握した上で、全社展開を検討する。適切なパスワードレス認証方式を選択して導入すれば、セキュリティとエンドユーザーの利便性を両立できる。