この記事は機械翻訳されました。
セキュリティトークンとは、ユーザーがシステムにアクセスする際に所持していなければならない物理的なデバイスのことです。認証データは、ユーザーとシステムの間を行き来し、アイデンティティとアクセスを検証します。このデータの導線となるのがセキュリティトークンです。
セキュリティトークンの普及状況
パスワードと個人識別番号（PIN）は、現代のビジネスにおいてはあらゆる場所で使用されています。ほとんどの従業員は、ファイルやサーバー、機密文書にアクセスするには、何らかの資格情報を入力しなければならないことを知っています。セキュリティトークンは、この保護を次の段階に進めるものです。
セキュリティトークンは、キーフォブのように大きなものから、マイクロチップのように小さなものまであります。これらは、人のアイデンティティを検証する情報を保持するか、または検証サービスを提供するデータベースまたはサードパーティシステムと通信します。
セキュリティトークンの仕組み
ハッカーが引き起こす損失は、毎年約4,000億ドルにも上ります。企業は、この非常に現実的な脅威に対抗しなければなりません。これを怠ると、被害が甚大なものになる可能性があります。
たとえば、大企業で何百万ドルもの価値がある知的情報を保護する場合を考えてみましょう。この情報をハッカーから守る必要があります。トークンの設定には以下のようなものが考えられます。
- キーワード。 ユーザーは、安全なパスワードを記憶し、入力する必要があります。このパスワードには、多くの場合に最低限の文字数などの詳細な条件が設定されています。
- コンピューターのセットアップ。 ログイン試行イベントが発生すると、コンピュータ システムはユーザーの携帯電話にメッセージを送信します。そのメッセージには、入力が必要なパスワードが含まれており、入力しないとアクセスがブロックされます。
これは表面的には、消費者が長年にわたってパスワードで使ってきたのと同じタイプの認証と認可です。必要なシステムにアクセスするためには、記憶した資格情報を入力しなければなりません。しかし、セキュリティトークンには何らかのツールが必要です。単純な記憶だけでは十分ではありません。
3 セキュリティトークンの主なタイプ
セキュリティトークンは、カスタマイズを考慮して作られています。ある企業のニーズは、他の企業のニーズとは全く異なるものです。セキュリティと柔軟性の適切なバランスを実現するために、自社のバージョンを慎重に選定する必要があります。
セキュリティトークンには以下のようなタイプがあります。
- 接続されたトークン。 ユーザーは、トークンを使用したいシステムに物理的に接続する必要があります。Yubikeyのようなスマートカードやフォブが良い例です。デバイスをリーダーにスライドさせると、デバイスが自動的に認証情報をコンピューターシステムにプッシュします。
- 切断されたトークン。 ユーザーは、デバイスに物理的に何かを挿入する必要はありませんが、トークンによって生成されたコードを入力しなければならない場合があります。二要素認証デバイスとして設定された携帯電話は、非接続型トークンの良い例です。
- 非接触型トークン。 ユーザーはデバイスに接続する必要がなく、追加のキーワードやアクセスコードを入力する必要もありません。その代わり、これらの機器はシステムと無線で接続し、その接続に基づいてアクセスを許可または拒否します。Bluetoothトークンやキーレスエントリーシステムが、このように機能します。
カスタマイズはそれだけではありません。セキュリティトークンシステムには、以下のようなものも含まれます。
- キーパッド。 パスワードを要求することで、トークン内のデータをロックダウンします。
- 生体認証データ。 虹彩スキャンまたは指紋を保存し、そのデータを現場のスキャナーに結び付けます。
- 改ざん防止品質。 泥棒がキーを分解してデータを盗むことができないように、セキュリティ対策が追加されています。
セキュリティトークンのパスワードのタイプ
すべてのセキュリティトークンには、パスワードと考えられる小さなデータが含まれています。キーパッドやスキャナを介してシステムに入力されるとは限らず、ユーザーがアクセスしようとしているリソースとの間で、トークンが何らかの安全なデータ交換を行います。
セキュリティトークンのパスワードには、以下を含む多くの種類があります。
- 静的パスワード。 トークンの中に、数字、文字、またはその両方の文字列が含まれています。パスワードは、セキュリティの専門家が直接サポートしない限り、決して変更されることはありません。トークンを持っている人は、パスワードの存在を知らないかもしれませんし、要求されてデータを呼び出すこともできません。
- 動的パスワード。 セキュリティシステムが新しいパスワードを選び、それをトークンに渡します。一般的に、ユーザーはアクセスする前に結果を入力する必要があります。このようなシステムには、タイマーとアルゴリズムを使ってパスワードを生成するものや、ワンタイムパスワードのソリューションを使うものがあります。
- 課題 パスワード. サーバーと鍵が互いに接続され、やりとりの過程でデータが暗号化されます。アクセスするためには、デバイスは暗号化された形でチャレンジを提供する必要があります。
セキュリティトークンのメリット
パスワードは驚くほど簡単に盗まれます。実際、研究者によると、最も一般的なパスワードは「123456」です。セキュリティをユーザーの手に委ねていては、大惨事が起こるのは明らかです。セキュリティトークンは、ユーザーが生成したパスワードを補完する（場合によっては完全に置き換える）ことで、これらの脅威を緩和できます。
適切なセキュリティトークンシステムは、2種類の情報に基づいて構築されます。
- 所持：システムにアクセスするには、その人が何か（電話、キーカード、USBなど）を所持していなければなりません。
- 知識：処理を完了させてアクセスするには、その人が何か（パスワード）を知っていなければなりません。
- 継承：これは、バイオメトリクスに関するものです。これは、その人が持つ属性（指紋や顔認識スキャンなど）です。
セキュリティトークンは、パスワードと併用することで、多要素認証（MFA）ソリューションの一部を構成します。MFAソリューションは、ワンタイムパスコードやU2Fトークン情報など、ユーザーに別の検証要素の提出を求めることで、認証セキュリティを強化します。
パスワードだけを使うのは、数字の組み合わせだけで家を守るようなものです。確かに機能しますが、番号を知っていれば誰でもアクセスできます。セキュリティトークンを追加すると、ドアの前に鍵でロックされたゲートを設置できます。ドアを開ける数字の組み合わせを知っている人でもゲートを通過できず、家の安全性を保つことができます。もう1つのレベルの保護を追加して、安全を守ります。
消費者は、セキュリティトークンの利点を高く評価しています。また、トークンは、以下のような重要情報を保護します。
- 財務データ
- 保存されている貯金情報
- 身分証明書
- 法的文書
一部の企業（銀行を含む）は、二要素認証プランを用心深い顧客へのセールスポイントにしている企業もあります。安全に配慮している企業であることを証明することで、顧客の維持・拡大につながる可能性が高まります。
セキュリティトークンの脆弱性
セキュリティトークンは、その名のとおり重要データを安全に保つためのものですが、残念ながら無敵ではありません。リスクは現実に存在し、それを緩和するのが難しい場合もあります。
セキュリティトークンの一般的な脆弱性には、以下のようなものがあります。
- 損失。 キーカード、フォブ、USBメモリなどは小さくて紛失しやすいものです。暗号化されていない場合や、第2のパスワードで保護されていない場合、見つけた人が誰でもアクセスできてしまいます。
- 窃盗。 これらの同じデバイスは、標的型攻撃や財布の盗難などの別の犯罪の一部として盗まれる可能性があります。損失と同様に、これは彼らを悪質な個人の手に渡る可能性があります。
- ハッキング。 トークンはユーザーをマルウェアから守るべきものであり、その点でトークンシステムがより安全であると、銀行などの企業が顧客に伝えることは珍しくありません。しかし、電子機器でネットワークに接続されているものは、スキルと忍耐があればハッキングすることが可能です。セキュリティトークンは、新たなサポートのレイヤーを提供しますが、ハッキングを受けないわけではありません。
- セキュリティ侵害。 ハッカーは認証システムの前に出て、ユーザーにキーワードをタップして収集するように誘導することができます。これは 2006年に主要な銀行システムで起こり、ITはかなりのスキャンダルを引き起こしました。
どのようなセキュリティトークンシステムを使用する場合も、節度と警戒心が必要です。すべてが計画どおりに動いているかを確認し、問題があればすぐに介入できるように備えます。
暗号化セキュリティトークンとの比較
暗号通貨の取引では、所有権を証明することが求められ、その所有権を買い手に譲渡する必要があります。暗号化セキュリティトークンは、流動性のある合意のようなものとして機能します。
一部の専門家は、この形態のセキュリティトークンが金融の未来を象徴していると考えています。これらのトークンにはセキュリティの要素がありますが、多くのIT管理者が日々行っている業務に関連するものではありません。
プロセスの簡素化
セキュリティ トークンは、会社概要 貴重な資産をロックダウンして保護するのに役立ちます。 彼らは、顧客、従業員、パートナー、および全体的なビジネスの安全性を確保するために、強化された保護の積み重ねるものをもたらします。
このようなシステムを構築するのは、必ずしも容易ではありません。このシステムが不具合なく正しい方法でセットアップされることを確認する必要があります。
8,400以上のグローバル企業がOktaを信頼し、このようなシステムの管理と認証に役立てています。皆様の組織のセキュリティ強化でも、ご活用ください。
