RSAセキュリティが解説

認証方式は一長一短、「安全性と利便性で評価を」

2009/03/03

　RSAセキュリティは3月3日、認証技術に関する勉強会を開催した。この中で、同社のマーケティング統括本部プロダクトマーケティングマネージャーの水村明博氏は、複数の認証方式を紹介、比較し、「安全性と利便性の面から評価すべき」と述べた。

　利用している人を特定する「ユーザー認証」はセキュリティの根幹をなす要素の1つだ。PCへのログインやインターネットサービスへのアクセス時など、さまざまなシーンで認証を行うことになる。だが仮に認証が破られ、他人によるなりすましが行われると、重要なデータがのぞき見や流出といったリスクにさらされる可能性がある。また、インターネット上の決済で悪用されれば、金銭的被害を被る恐れもある。

RSAセキュリティマーケティング統括本部プロダクトマーケティングマネージャー水村明博氏

　認証の手段として最も広く利用されているのが、文字列を組み合わせた「固定パスワード」だ。だが水村氏は、固定パスワードは解析・推測が容易であり、安全性という面では危ないと指摘する。「それではとパスワードを長くしたり、数字や大文字小文字を取り混ぜたりすると複雑になり、覚えられないためメモに書いて残すことになるが、そうすると漏えいのリスクが生じる。パスワードを忘れたユーザーからの問い合わせが増え、管理面で忙殺されるという問題も生じる」（同氏）。

　オンラインバンキングサービスなどで広く使われているのが、乱数表を用いる「マトリクス認証」だ。これは直感的に利用でき、ユーザーにとっての使いやすさという面では優れているが、強度面で難が残るという。また、マトリクスはWeb上に表示させることが多いため、サーバの連携などでシステムが複雑になりがちという面もあると述べた。

　強度という面で有力視されるのは生体認証（バイオメトリクス認証）だが、生体情報は重要な個人情報に当たると感じ、登録に抵抗を感じるユーザーもいるという。また、PKI（電子証明書）を用いた認証は極めて安全性の高い仕組みだが、システムが複雑になる場合がある。ワンタイムパスワードトークンは、実質的に固定パスワードとの組み合わせとなるため強力だが、紛失や置き忘れが生じた場合は不便を被る。

　もう1つの認証手法が「リスクベース認証」だ。これは、利用者の環境や行動パターンを分析し、リスクを判定して必要に応じて認証を課す手法だ。「東京の端末から昼間にアクセスすることが多いはずのユーザーが、ある日、海外の端末からアクセスしてきた」など、普段と異なるパターンでアクセスしてきた場合、追加の認証を行うことで安全性を高める。ただ、例外的な手続きを取る場合、ユーザーは追加認証に必要な答えを記憶しておく必要があるため、「あれ、何を登録しておいたかな？」と頭を悩ませる可能性もあるという。

　いずれにせよ、認証方法を選択する際には、のぞき見や盗聴などさまざまなリスクに対抗する「安全性」、そしてエンドユーザーとシステム部門、両方にとっての「利便性」という2つの相反する要素に留意する必要があると水村氏は述べている。