認証とは?

従来の認証では各システムが本人確認を行いますが、対照的に先進認証では、信頼できる独立した ID システムに認証プロセスが委任されます。また、使用される認証方法の種類も変化しています。ほとんどのアプリケーションではユーザー名とパスワードが要求されますが、悪意のあるアクターがパスワード盗みの腕を上げてきているため、セキュリティのコミュニティは ID の保護に役立つ多数の新しい方法を開発しています。

パスワードベースの認証は、認証方式として最も一般的です。多くのアプリとサービスでは、人々がパスワードを作成するときに、悪意のあるアクターに推測されるリスクを縮小するために数字、英字、記号の組み合わせを使うことが求められます。しかし、パスワードにはセキュリティと便利さの点で課題もつきものです。人々が自分のオンライン アカウントごとに異なるパスワードを考えて記憶するのは簡単ではなく、これが理由でパスワードが再利用されることも多くなっています。また、攻撃者はさまざまな戦術を使ってパスワードを推測するか盗み出し、あるいは人々が不本意ながらパスワードを共有するように仕向けます。このような理由から、組織はパスワードよりも安全な、他の認証方式に移行しています。

証明書ベースの認証とは、暗号化を用いる方法であり、デバイスや人々が他のデバイスやシステムに対して、自分が誰であるかを示すことができます。一般的な例の 1 つはスマート カードで、もう 1 つは従業員のデバイスからネットワークまたはサーバーに送信されるデジタル証明書です。

生体認証では、生物学的な特徴を使用して人々の本人確認を行います。たとえば、多くの人々は指を使ってスマートフォンにサインインしており、コンピューターの中にはユーザーの顔または網膜をスキャンして本人確認を行うものがあります。この生体認証データは特定のデバイスにもリンクされているため、攻撃者はそのデバイスへのアクセスも獲得しない限り、そのデータを使うことはできません。この種の認証が使われることが増えていますが、その理由は人々にとって簡単であり (記憶しておく必要がありません)、悪意のあるアクターにとっては盗むのが難しいため、パスワードよりも安全であるからです。

トークンベースの認証では、デバイスとシステムの両方が、時間ベース ワンタイム PIN (TOTP) と呼ばれる新しい一意の数字を 30 秒間隔で生成します。この数字が一致すると、そのユーザーがそのデバイスを所持していることがシステムによって確認されます。

ワンタイム パスワード (OTP) とは、1 回のサインインのために生成されるコードであり、発行から短時間で失効します。これは SMS メッセージ、メール、またはハードウェア トークンを介して届けられます。

アプリやサービスの中には、ユーザー認証にプッシュ通知を使用するものがあります。この方法では、アクセス要求を承認するか拒否するかを尋ねるメッセージが人々のスマートフォンに送信されます。人々は、プッシュ通知の送信元であるサービスにサインインしようとしているにもかかわらず、誤って通知を承認してしまうこともあるため、この方法は OTP 方式と組み合わせて使用されることもあります。OTP を使用する場合は、システムによって一意の数字が生成され、ユーザーはこれを入力する必要があります。これで、認証のフィッシング耐性が高くなります。

音声認証では、サービスへのアクセスを試みる人に電話がかかってくるので、その指示に従ってコードを入力するか、口頭で本人確認を行います。

アカウント侵害をなくす最善の方法の 1 つは、2 つ以上の認証方法を要求することであり、これには前述の認証方法のどれを使用してもかまいません。ベスト プラクティスとして、次のうち 2 つを要求することをおすすめします。

• ユーザーが知っているもの。一般的にはパスワードです。
• ユーザーが所持しているもの。たとえば、簡単には複製できない信頼できるデバイス (スマートフォンやハードウェア トークンなど) です。
• ユーザーの身体の一部。たとえば指紋や顔のスキャンです。

たとえば、多くの組織はアクセスを許可する前にパスワード (ユーザーが知っているもの) を要求し、さらに OTP を SMS 経由で信頼できるデバイス (ユーザーが所持しているもの) に送信します。

2 要素認証は多要素認証の一種であり、2 とおりの方式の認証を要求するというものです。