要約
パスワードレス認証は、従来のユーザー名とパスワードによるログインに代わり、暗号化キーや生体情報、またはデバイスベースの要素を使用します。ITコストの削減、ユーザーエクスペリエンスの向上、主要な攻撃ベクトルの排除といったメリットがある一方で、特にデバイスの紛失や盗難に関する新たなリスクも生じます。組織は、こうしたトレードオフを慎重に比較検討し、切り替えを行う前に、経験豊富なアイデンティティプロバイダーとの協業を検討する必要があります。
パスワードレス認証の仕組み
パスワードを入力したり、セキュリティ質問に答えたり、知識に基づく秘密情報を明かしたりせずにコンピューターにログインすることを想像してみてください。あなたは今、パスワードレス認証システムを思い描いています。
多くのセキュリティ専門家にとって、パスワードレスの未来は理想的です。パスワードの作成と記憶の負担を軽減できれば、人々が私たちとより簡単につながることができるようになります。そして、複数のサイトで同じ認証情報をコピー/ペーストして、私たちのシステムを破壊することはありません。
しかし、パスワードレスシステムには、ユーザーのアイテムが盗まれたり、ハッキングされたりした場合のアクセス困難など、重大な欠点もあります。パスワードレス化があなたとあなたの組織に適しているかどうかを判断する際には、考慮すべき多くの要素があります。
パスワードレス認証とは？
ほぼすべての企業がハッキング攻撃を受けるリスクにさらされています。パスワードレス認証は、それを強く支持する人々にとってはセキュリティを強化する手段です。これを導入すれば、ハッカーが資産へのアクセスに用いる主要な手口の1つを排除できます。
一般的なシステムでは、ユーザーに以下の作成を求めます。
- ユーザー名組織内の全員に対して、同様のシステム（例：last_initial.first_name）を識別することがあります。あるいは、各自で独自のものを設定させることもできます。
- パスワード数字と記号を含む10文字以上のパスワードを作成するようユーザーにお願いすることがあります。また、定期的に新しいものを作成していただくようお願いすることもあります。
- セキュリティプロセスユーザー名とパスワードを忘れた場合にアカウントへのアクセスを回復するため、ユーザーに一連の質問に回答してもらうことがあります。
多要素認証（MFA）とパスワードレスシステムは、どのように関連していますか？
一部の企業はさらに、多要素認証（MFA）を使用しています。この方法では、電話に送信されるコードを入力したり、指紋スキャンを行ったりして、本人確認を求めます。MFAでは、これらの二次的な要素はパスワードを置き換えるものではありません。それらはパスワードを強化します。
MFAは、パスワードレスの世界への第一歩と考えることができます。しかし、思い切って導入すれば、このようなシステムだけでユーザーの検証を支援できるようになります。パスワードは一切不要です。
パスワードレス認証はどのように機能しますか？
ユーザーは、自分たちが考え得る限り最も強力で最高のパスワードの組み合わせを使っていると信じているかもしれません。しかし、そのデータは簡単に盗まれます。例えば2014年には、ハッカーが12億件ものユーザー名とパスワードの組み合わせを盗み出すという事件がありました。パスワードを安全に保管していても、ハッカーはわずか数分でセキュリティ対策を回避し、データを解読してしまいます。パスワードレス認証は、こうしたリスクを軽減します。
このようなシステムは以下に依存しています。
- 暗号鍵。登録時に、サーバー、アプリケーション、またはWebサイトに1つのキーが提供されます。秘密鍵は個人のデバイスに残ります。
- 認証要素携帯電話やスマートカードなど、本人が所有するもの、または指紋や網膜スキャンなど、本人の生体情報によって、アクセスが許可されます。
登録とログインのプロセスはどのようなものですか？
初回訪問時には登録が必要です。たとえば、鮮明な網膜スキャンを提供する必要があるかもしれません。または、アカウントに電話をリンクする必要があるかもしれません。しかし、その作業が完了すると、その人物はいつでもシステムに簡単にアクセスできます。
認証済みのデバイスで人が戻ってくるたびに、何らかの認証が必要になる場合があります。しかし、登録済みのデバイスでのアクセスごとに、システムチェックなしでその人物を認識するようにシステムを設定することもできます。
パスワードレスログインのリスクとメリットとは？
従来のやり方から離れて、未来に進むべきでしょうか？すべての企業がこの質問に対する個別の答えを持っています。しかし、長所と短所を検討することで、賢明な選択をするのに役立ちます。
パスワードレス認証に移行するメリットは何ですか？
- コスト情報技術（IT）チームは、パスワードの問題とそれに伴うセキュリティリスクへの対応に、毎年何百時間も費やしています。こうした課題を解消することで、チームは他の重要なタスクに取り組めるようになります。
- カスタマーエクスペリエンスパスワードは覚えにくく、紛失しやすいものです。こうした手間をなくすことで、顧客の負担が軽減され、企業の成長につながる可能性があります。
- セキュリティ。前述のとおり、パスワードは盗まれたり解読されたりしやすくなっています。これらを削除することで、リソースを確実に保護し続けることができます。
パスワードレスシステムの限界は何ですか？
パスワードレスの世界に関連する制限事項は次のとおりです。
- 専門知識貴社のITチームは、パスワードを必要としない最先端のシステムを開発する準備を整える必要があります。従業員によっては、トレーニングが必要になる場合があります。
- セキュリティ。パスワードレスシステムに関連付けられたデバイス（スマートフォンなど）を紛失した場合、窃盗犯はすべてのファイルやサーバーにアクセスできてしまいます。そのアクセスをブロックすることは非常に困難です。システムによっては、ユーザー名とパスワードを入力すれば制御を取り戻せるものもありますが、それではパスワードレスシステムのメリットが失われてしまいます。
使い慣れた信頼できるシステムから、聞いたこともテストしたこともないものに変更するのは、神経を使うことがあります。チームと協力して、ストレスを軽減しましょう。Oktaでは、大企業から中小企業まで、強力で安全なシステムを構築しており、その仕組みをご説明したいと思います。詳細については、お問い合わせください。
よくある質問（FAQ）
パスワードレス認証と従来のログインシステムの違いとは何ですか？
従来のシステムは、ユーザー名、パスワード、秘密の質問に依存していますが、これらはすべて知識ベースの秘密情報であり、盗まれたり忘れたりする可能性があります。パスワードレス認証では、これらを暗号鍵やデバイス、指紋などの物理的または生体認証要素に置き換えるため、共有される秘密情報は一切送信されません。
パスワードレスシステムの初期設定はどのように行いますか？
ユーザーは初回アクセス時に1回限りの登録プロセスを完了する必要があります。このプロセスでは、生体認証スキャン（網膜スキャンなど）の提供や、電話などの信頼済みデバイスのアカウントへの関連付けが必要になる場合があります。その後、登録済みのデバイスから再度アクセスする際には、自動的に、または最小限の検証でアクセスが許可されます。
多要素認証（MFA）とパスワードレス認証は同じものですか？
いいえ。多要素認証（MFA）では、電話のコードや指紋スキャンなどの二次要素がパスワードに加えて使用されます。これらはパスワードを置き換えるのではなく、強化するものです。パスワードレス認証ではパスワードを完全に排除し、二次的な要素のみを利用します。ただし、MFAは完全なパスワードレスシステムへの足がかりと見なすことができます。
パスワードレスアカウントに紐付けられたデバイスをユーザーが紛失した場合はどうなりますか？
これがパスワードレスシステムの主な制約の1つです。デバイスを紛失したり盗難に遭ったりした場合、窃盗犯は関連するすべてのファイルやサーバーにアクセスできるようになる可能性があり、そのアクセスをブロックするのは非常に困難な場合があります。システムによっては、ユーザー名とパスワードのフォールバックによる復旧が可能ですが、これではパスワードレス化による本来のセキュリティ上のメリットが損なわれる可能性があります。
パスワードレス認証に切り替えることによる主なビジネス上のメリットは何ですか？
組織は、情報テクノロジー（IT）チームがパスワードリセットや関連するセキュリティインシデントの管理に費やす時間とコストを削減できます。また、一般的な摩擦の原因を取り除くことでカスタマーエクスペリエンスを向上させ、認証情報盗難の攻撃ベクトルであるパスワードを排除することでセキュリティを強化します。
パスワードレスシステムでは、ログインごとに認証が必要ですか？
必ずしもそうとは限りません。検証済みデバイスでユーザーが再アクセスするたびに何らかの認証が求められる場合もありますが、システムを設定して、登録済みデバイスからのアクセスを自動的に認識し、追加のチェックを一切不要にすることも可能です。
参考文献
パスワードレス認証の時代。（2019年3月）Forbes)
強力なMFA：パスワードレスへの第一歩。（2020年7月、Cloud Security Alliance
パスワードのハッキングで12億件のアカウントに影響、さらに多くの情報が危険にさらされています（2014年8月）。CBC。
ハッキングの仕組み：複雑なパスワードも簡単に破られる。（2013年5月）Wired
パスワードは過去のものになりつつあります。(2017年5月、Entrepreneur。
パスワードレスの世界を実現するには？一歩ずつ着実に。(2019年11月)Security Week）
