要約
セキュリティトークンとは、デバイスの所持、認証情報の知識、生体認証、またはこれら3つの組み合わせを要求することでユーザーのアイデンティティを認証する、物理的またはデジタルのデバイスです。接続型、非接続型、非接触型の形態があり、それぞれに異なるパスワードメカニズム（静的、動的、またはチャレンジベース）が備わっています。パスワードのみの場合と比べてセキュリティを大幅に強化でき、多要素認証（MFA）の基盤となる一方で、紛失、盗難、ハッキングといった現実世界の脆弱性をはらんでいます。暗号セキュリティトークンは別の概念であり、日常的なIT認証ワークフローとは無関係です。
セキュリティトークンと認証について
セキュリティトークンとは、ユーザーがシステムにアクセスする際に所持していなければならない物理的なデバイスのことです。認証データは、ユーザーとシステムの間を行き来し、アイデンティティとアクセスを検証します。このデータの導線となるのがセキュリティトークンです。
現代のビジネスにおいて、セキュリティトークンはどの程度普及しているのでしょうか。
パスワードと個人識別番号（PIN）は、現代のビジネスにおいてはあらゆる場所で使用されています。ほとんどの従業員は、ファイルやサーバー、機密文書にアクセスするには、何らかの資格情報を入力しなければならないことを知っています。セキュリティトークンは、この保護を次の段階に進めるものです。
セキュリティトークンは、キーフォブのように大きなものから、マイクロチップのように小さなものまであります。これらは、人のアイデンティティを検証する情報を保持するか、または検証サービスを提供するデータベースまたはサードパーティシステムと通信します。
セキュリティトークンはどのように機能しますか？
ハッカーが引き起こす損失は、毎年約4,000億ドルにも上ります。企業は、この非常に現実的な脅威に対抗しなければなりません。これを怠ると、被害が甚大なものになる可能性があります。
実際のトークン設定はどのようなものでしょうか？
たとえば、大企業で何百万ドルもの価値がある知的情報を保護する場合を考えてみましょう。この情報をハッカーから守る必要があります。トークンの設定には以下のようなものが考えられます。
- キーワードユーザーは、安全なパスワードを記憶し、入力する必要があります。このパスワードには、多くの場合に最低限の文字数などの詳細な条件が設定されています。
- コンピューターのセットアップ。ログイン試行時には、コンピューターシステムからユーザーの携帯電話にメッセージが送信されます。このメッセージにはパスワードが含まれ、これを入力しないとアクセスが遮断されます。
これは表面的には、消費者が長年にわたってパスワードで使ってきたのと同じタイプの認証と認可です。必要なシステムにアクセスするためには、記憶した資格情報を入力しなければなりません。しかし、セキュリティトークンには何らかのツールが必要です。単純な記憶だけでは十分ではありません。
3 セキュリティトークンの主なタイプ
セキュリティトークンは、カスタマイズを考慮して作られています。ある企業のニーズは、他の企業のニーズとは全く異なるものです。セキュリティと柔軟性の適切なバランスを実現するために、自社のバージョンを慎重に選定する必要があります。
セキュリティトークンには以下のようなタイプがあります。
| タイプ | 接続の仕組み | 例： |
|---|---|---|
| 接続型トークン | ユーザーは、トークンを使用したいシステムに物理的に接続する必要があります。 | Yubikeyのようなスマートカードまたはセキュリティキーです。デバイスをリーダーにスライドさせると、デバイスが自動的に認証情報をコンピューターシステムにプッシュします。 |
| 非接続型トークン | ユーザーは、デバイスに物理的に何かを挿入する必要はありませんが、トークンによって生成されたコードを入力しなければならない場合があります。 | 2要素認証（2FA）デバイスとして設定された携帯電話。 |
| 非接触型トークン | ユーザーはデバイスに接続する必要がなく、追加のキーワードやアクセスコードを入力する必要もありません。その代わり、これらの機器はシステムと無線で接続し、その接続に基づいてアクセスを許可または拒否します。 | Bluetoothトークンとキーレスエントリーシステム。 |
カスタマイズはそれだけではありません。セキュリティトークンシステムには、以下のようなものも含まれます。
- キーパッドパスワードを要求することで、トークン内のデータをロックします。
- バイオメトリックデータ虹彩スキャンや指紋を保存し、そのデータをサイト上のスキャナに結びつけます。
- 改ざん防止の品質：泥棒がキーを分解してデータを盗むことができないように、セキュリティ対策が施されています。
セキュリティトークンでは、どのような種類のパスワードが使用されますか？
すべてのセキュリティトークンには、パスワードと考えられる小さなデータが含まれています。キーパッドやスキャナを介してシステムに入力されるとは限らず、ユーザーがアクセスしようとしているリソースとの間で、トークンが何らかの安全なデータ交換を行います。
セキュリティトークンのパスワードには、以下を含む多くの種類があります。
- 静的パスワードトークンの中に、数字、文字、またはその両方の文字列が含まれています。パスワードは、セキュリティの専門家が直接サポートしない限り、決して変更されることはありません。トークンを持っている人は、パスワードの存在を知らないかもしれませんし、要求されてデータを呼び出すこともできません。
- Dynamic passwords. セキュリティシステムが新しいパスワードを選び、それをトークンに渡します。一般的に、ユーザーはアクセスする前に結果を入力する必要があります。このようなシステムには、タイマーとアルゴリズムを使ってパスワードを生成するものや、ワンタイムパスワードのソリューションを使うものがあります。
- パスワードにチャレンジするサーバーと鍵が互いに接続され、やりとりの過程でデータが暗号化されます。アクセスするためには、デバイスは暗号化された形でチャレンジを提供する必要があります。
セキュリティトークンを使用するメリットは何ですか？
パスワードは驚くほど簡単に盗まれます。実際、研究者によると、最も一般的なパスワードは「123456」です。セキュリティをユーザーの手に委ねていては、大惨事が起こるのは明らかです。セキュリティトークンは、ユーザーが生成したパスワードを補完する（場合によっては完全に置き換える）ことで、これらの脅威を緩和できます。
適切なセキュリティトークンシステムは、3種類の情報に基づいて構築されます。
- 所持：システムにアクセスするには、その人が何か（電話、キーカード、USBなど）を所持していなければなりません。
- 知識：処理を完了させてアクセスするには、その人が何か（パスワード）を知っていなければなりません。
- 継承：これは、バイオメトリクスに関するものです。これは、その人が持つ属性（指紋や顔認識スキャンなど）です。
セキュリティトークンは、パスワードと併用することで、多要素認証（MFA）ソリューションの一部を構成します。MFAソリューションは、ワンタイムパスコードやU2Fトークン情報など、ユーザーに別の検証要素の提出を求めることで、認証セキュリティを強化します。
セキュリティトークンがパスワード単体よりも優れている理由は何ですか？
パスワードだけを使うのは、数字の組み合わせだけで家を守るようなものです。確かに機能しますが、番号を知っていれば誰でもアクセスできます。セキュリティトークンを追加すると、ドアの前に鍵でロックされたゲートを設置できます。ドアを開ける数字の組み合わせを知っている人でもゲートを通過できず、家の安全性を保つことができます。もう1つのレベルの保護を追加して、安全を守ります。
消費者は、セキュリティトークンの利点を高く評価しています。また、トークンは、以下のような重要情報を保護します。
- 財務データ
- 保存されている貯金情報
- 身分証明書
- 法的文書
一部の企業（銀行を含む）は、二要素認証プランを用心深い顧客へのセールスポイントにしている企業もあります。安全に配慮している企業であることを証明することで、顧客の維持・拡大につながる可能性が高まります。
セキュリティトークンの脆弱性とは何ですか？
セキュリティトークンは、その名のとおり重要データを安全に保つためのものですが、残念ながら無敵ではありません。リスクは現実に存在し、それを緩和するのが難しい場合もあります。
セキュリティトークンの一般的な脆弱性には、以下のようなものがあります。
- 損失。キーカード、フォブ、USBメモリなどは小さくて紛失しやすいものです。暗号化されていない場合や、第2のパスワードで保護されていない場合、見つけた人が誰でもアクセスできてしまいます。
- 盗難。これらのデバイスは、狙われて盗まれたり、財布の窃盗などの犯罪に巻き込まれて一緒に盗まれたりすることがあります。紛失と同様に、悪意のある人物の手に渡ってしまう可能性があります。
- ハッキング：トークンはユーザーをマルウェアから守るべきものであり、その点でトークンシステムがより安全であると、銀行などの企業が顧客に伝えることは珍しくありません。しかし、電子機器でネットワークに接続されているものは、スキルと忍耐があればハッキングすることが可能です。セキュリティトークンは、新たなサポートのレイヤーを提供しますが、ハッキングを受けないわけではありません。
- セキュリティ侵害：ハッカーが認証システムの前に立ちはだかり、ユーザーにキーワードを入力させて収集する可能性があります。これは、2006年に主要バンキングシステムで発生し、大きなスキャンダルを引き起こしました。
どのようなセキュリティトークンシステムを使用する場合も、節度と警戒心が必要です。すべてが計画どおりに動いているかを確認し、問題があればすぐに介入できるように備えます。
認証トークンと暗号セキュリティトークンはどのように違うのでしょうか？
暗号通貨の取引では、所有権を証明することが求められ、その所有権を買い手に譲渡する必要があります。暗号化セキュリティトークンは、流動性のある合意のようなものとして機能します。
一部の専門家は、この形態のセキュリティトークンが金融の未来を象徴していると考えています。これらのトークンにはセキュリティの要素がありますが、多くのIT管理者が日々行っている業務に関連するものではありません。
プロセスの簡素化
セキュリティトークンは、企業が大切な資産を遮断して保護する上で役立ちます。顧客、従業員、パートナー、そしてビジネス全体の安全性を確保するために、強化された保護レイヤーを提供します。
このようなシステムを構築するのは、必ずしも容易ではありません。このシステムが不具合なく正しい方法でセットアップされることを確認する必要があります。
8,400以上のグローバル企業がOktaを信頼し、このようなシステムの管理と認証に役立てています。皆様の組織のセキュリティ強化でも、ご活用ください。
よくある質問（FAQ）
接続型、非接続型、非接触型セキュリティトークンの違いとは何ですか？
接続型トークンは、システムへの物理的な接続を必要とします。スマートカードやYubiKeyをリーダーに挿入するなどして、デバイスが認証データを直接プッシュできるようにするためです。2FAに使用される携帯電話などの切断型トークンは、システムに物理的に接続することなく、ユーザーが入力する必要のあるコードを生成します。非接触型トークンはさらに一歩進んでおり、ワイヤレスで接続し、挿入やコード入力なしでアクセスを自動的に許可または拒否します。Bluetoothトークンやキーレスエントリーシステムがその代表例です。
セキュリティトークンはハッキングされる可能性がありますか？
はい。セキュリティトークンは重要な保護レイヤーを追加しますが、電子機器でネットワークに接続されているものは、スキルと忍耐力のある人物によってハッキングされる可能性があります。また、ハッカーが認証システムの前に割り込み、ユーザーを誘導してキーワードを入力させ、それを収集するという手口もあります。これは2006年に大手銀行システムが被害に遭った手口です。セキュリティトークンはハッキングに対して絶対安全というわけではなく、継続的な警戒が必要です。
セキュリティトークンを紛失または盗まれた場合はどうなりますか？
キーカード、フォブ、USBスティックなどのセキュリティトークンが紛失または盗難に遭い、暗号化や2つ目のパスワードで保護されていない場合、それを発見または入手した第三者が保護対象のシステムにアクセスできてしまう可能性があります。盗難は、標的型攻撃の場合や、ハンドバッグの盗難など他の犯罪の一部として発生する可能性があります。そのため、トークンと合わせてPINやパスワードを要求するなど、多層的なセキュリティ対策が重要になります。
セキュリティトークンは多要素認証でどのように機能しますか？
セキュリティトークンは、多要素認証（MFA）の重要な構成要素です。MFAはパスワードのみに依存するのではなく、トークンと、ワンタイムパスコードやUniversal 2nd Factor（U2F）クレデンシャルなどの少なくとも1つの追加の検証要素を組み合わせます。これにより、パスワードが侵害された場合でも、攻撃者はそれだけではアクセスできなくなります。
セキュリティトークンにおける静的パスワードと動的パスワードの違いは何ですか？
静的パスワードとは、トークン内に保存される、数字、文字、またはその両方からなる固定文字列のことです。セキュリティ専門家による直接のサポートがなければ変更されることはなく、トークンの所有者でさえその存在を知らない場合があります。動的パスワードは、セキュリティシステムによって新たに生成されてトークンに送信されます。通常、ユーザーはアクセス権を得る前にその結果を入力する必要があり、システムによっては、タイマーとアルゴリズム、またはワンタイムパスワードソリューションを使用して生成されます。
暗号セキュリティトークンと認証セキュリティトークンは同じものですか？
いいえ。暗号セキュリティトークンは、暗号資産（仮想通貨）取引において、所有権の証明と移転を行うための流動的な契約の一形態として使用されます。認証セキュリティトークンは、ユーザーがシステムにアクセスする際に本人確認を行うために使用される物理的またはデジタルなデバイスです。どちらも「セキュリティトークン」と呼ばれますが、暗号化セキュリティトークンは、ほとんどのIT管理者が日常的に行う業務とは関係ありません。
