このページの本文へ

前へ 1 2 次へ

ユーザーの負担を軽減し、セキュアなサービスを維持する認証方法とは?

さらばパスワード!本人認証の未来像をシマンテックが語る

2015年01月19日 06時00分更新

文● 谷崎朋子

  • この記事をはてなブックマークに追加
  • 本文印刷

ユーザーの“認証疲れ”がセキュリティリスクを高める

 膨大なID/パスワードの管理を強いられる現代のユーザーたちは“認証疲れ”を起こしている――。筆者が訪れたシマンテックのシドニーオフィスで、ニック・サヴィデス氏はインターネットにおける本人認証の未来について熱く語った。

シマンテック シニアプリンシパル システムエンジニア、ニック・サヴィデス氏

 サヴィデス氏は、ユーザーが“認証疲れ”した結果、これ以上の面倒を避けようと「覚えやすい安直なパスワード」と「使い回しのパスワード」があふれかえっていると指摘する。不正アクセスを容易にするこうした事態は、サービス提供者側にとっても大きなセキュリティリスクになっている。

 「いかにユーザー側の認証作業をサービス側で引き受け、安全性を確保するか。それが未来のオンライン認証の目指すところだ。その実現に向けて、さまざまな取り組みが行われている」

見えない相手は本物か? オンライン認証の歩み

 1995年、世界初の民間認証局として設立されたベリサイン(現在はシマンテックと合併)は、公開鍵暗号基盤(PKI)を利用した「インターネット上において信頼を担保する仕組み」を構築した。

世界初の民間認証局Verisign Inc.のホームページ(1997年時のスクリーンショット)

 インターネット上で、見えない相手が本物か偽物かを判断するのは極めて難しいことだ。ベリサインのサーバー証明書サービスは、あるWebサイトが信頼できるものであること(本物であること)を、厳格な審査と暗号/電子証明書の技術を用い、第三者機関として認定するものだ。現在ではオンライン決済の場面で必ず導入されており、「導入されていないWebサイトでは購入しないというユーザーも多い」とサヴィデス氏は語る。

通信先のWebサイトが“本物”であることを示すサーバー証明書

 これは「ユーザーに対してWebサイトの信頼性を証明する」認証だが、現在ではその逆向き、つまり「Webサイトに対してユーザーの信頼性を証明する」認証も重要になっている。オンラインバンキング、クラウドストレージ、SNSサイトなど、個人の重要な情報を取り扱うWebサービスが増えたことがその一因だ。

 Web上で保持されているユーザーのデータにアクセスし、サービスを利用しようとしているのは、本当に正規のユーザーなのか。インターネットを介してそれを確認するための仕組みが「本人認証」である。

1人あたりのパスワード保有数は「平均24個以上」!!

 古くから本人認証の手段として用いられ、現在でも広く使われているのがID/パスワードだ。本人しか知り得ない情報(=IDとパスワードの文字列)を入力させることで、ログインしようとしているのが本人であることを確認する。

 だが、個人が利用するWebサービスの数が増えたことで、ID/パスワードによる認証の問題点が浮かび上がってきた。サヴィデス氏によると、現在では「1人あたり平均24個以上」のパスワードを持つ計算になるという。さらにセキュリティ上の理由から、パスワードは長くて複雑なものにすること、定期的に変更することなどが推奨されるため、ユーザーの負担は非常に大きなものとなっている。冒頭で挙げた“認証疲れ”も当然の結果だろう。

 ここでサヴィデス氏は、ホワイトボードにできる限りランダムで複雑な文字列を書き出し、筆者に「30日ごとに定期変更するように言われたら、どうするか?」と問いかけた。サヴィデス氏の言わんとすることはこうだ――「おそらく大半のユーザーは、30日後には文字列の最後に『1』を追加し、60日後には『1』を『2』に、90日後は『2』を『3』に変更するだけで済ませる」。

 ランダムで複雑な文字列など幾つも覚えたくない(覚えきれない)し、面倒なこともしたくない。そんな人間の本音に反する対策を取ろうとしても、むしろリスクを高めるだけで解決にはならないと、サヴィデス氏は笑う。

「どんなに複雑なパスワードを付けても、定期変更しろと言われたら楽に変更できる方法を探す。それが人間であり、結局意味がない」(サヴィデス氏)

(→次ページ、ユーザーの負担が少ない本人認証手段とはどんなものか

前へ 1 2 次へ

ピックアップ