世界中で増えている2段階認証での認証方式パスワード以外の認証方式があれば安全と言える?法人でも使える2段階認証サービスそれでもパスワードの重要性は下がっていないオンライン上には多種多様なフィッシングサイトやマルウェアが存在しており、ユーザーが持っている情報を搾取しようと待ち構えています。クラウドサービスの普及により、持っている情報の中でも重要なものであるIDとパスワードの価値自体も上昇していると言えるでしょう。クラウドサービスの窓口であるIDとパスワードの「認証」というステップ。これをより強固なものにするための方法として近年急速に普及してきているのが二段階認証です。今回はこの認証方式に焦点を当てて、組織のセキュリティをより高める方法を紹介したいと思います。二段階認証とは、その名の通り2つの段階を経て認証を完了することを指します。Authentication:多要素認証)と言う概念があり、その中で2段階に限定した認証方式が二段階認証と呼ばれているのです。ここで出てくる「要素」とは何のことをさすのでしょうか?標準的なものは下記のとおりです。ユーザー自身の情報、指紋や顔、静脈などこれらのうち複数個を組み合わせたものを「多要素認証」と呼び、さらにその中で2つを使用した場合は「2要素認証」に分類されます。2ステップ使用するものを「2段階認証」と言います。一般的なウェブサービスにおいては2段階認証が多く使用されています。その場合の要素は1ステップ目にID/パスワードの知識情報、2ステップ目に携帯電話のSMSなどを使用して所有物情報を使用するものが大半です。銀行等のATMで引落しや振込などを実行する際の手続きは2要素認証・3要素認証の実例です。キャッシュカード(所有者情報)に暗証番号(知識情報)、場合によって静脈認証(生体認証)を同時に実施しています。Googleも2段階認証の採用で従業員のフィッシング被害を一掃2段階認証の大半において、オンライン上での手続きに加えてオフライン上のハードウェアを経由した要素が重要となるため、フィッシング等の被害からアカウントを保護するための手続きとしては非常に有効な手段です。実際に、Googleは2017年よりハードウェアベースの2段階認証を社内で進め、その結果、従業員8万5000人を超える従業員に対するフィッシング被害が0になったと発表しています。この際の2段階認証の手続きは、セキュリティトークンといわれるハードウェアを使用したものでした。IDとパスワードの認証を経た後に、コンピュータにセキュリティトークンを接続することで認証が完了します。Key」として発表され、提供が始まっています。今やフィッシング被害はどこの業界でも他人事ではありません。Googleアカウントを搾取されることでメール・ドキュメント・データが被害にあったり、Facebookを始めとするSNSのログイン情報が搾取されたことでそのアカウントが詐欺の踏み台アカウントに使用されてしまったりすることがあります。銀行等のオンライン金融サービスでは資産への直接ダメージにつながったり、AWSなどのIaaSサービスのアカウントでは仮想通貨のマイニングに悪用されたりする可能性もあるのです。そのようなフィッシング詐欺による被害を押さえるための手法が2段階認証であり、昨今では様々なサービスが対応するようになってきています。わかりやすい例としては、Googleアカウントの2段階認証があります。ログイン時にIDとパスワードの入力後、スマートフォン上のアプリにて時間で切り替わるワンタイムパスワードを発行することにより2段階認証を実行できるようになっているのです。ほかにはSNSアカウント等では携帯電話のSMSにてワンタイムパスコードを送ることで2段階認証を実現しています。ワンタイムパスコードでメールを使用しないのには理由があります。ID/パスワードの使用は知識情報の要素ですが、メール自体が「メールサービスに対するパスワード」を使用しているため、こちらも知識情報の要素になります。2要素認証とならないのです。2つのステップを経ているので2段階認証である、という点は間違いではありません。一般的に2段階認証は2要素認証を兼ねているものであるべきとされています。したがって、上記のような方法はほとんど見られないのです。パスワード以外の認証方式があれば安全と言える?最近では普段使用しているコンピュータ/スマートフォンにも2段階認証が使用されるようになっています。コンピュータのロックを外す際にパスワード(知識情報)と顔認証や指紋認証(生体情報)を組み合わせることで、よりセキュリティを高めることができるのです。注意しなくてはならないのが、顔認証や指紋認証は、昨今においてどちらかというと「パスワードの代替手段」となりつつあるという点です。多くの場合でパスワードと併用した2段階認証ではなく、単純認証として利用されています。生体認証などは本人認証として非常に有用ではあるのですが、それだけで2段階認証と同等のセキュリティのレベルに達する手段であるとは言えません。そのため企業等の情報機密を重視しなければならない環境下では、知識情報や所有物情報による認証が必要だと考えるべきでしょう。法人でも使える2段階認証サービスさてそれでは2段階認証を実現させるサービスにはどのようなものがあるのでしょうか。ここではウェブサービスでの例を紹介いたします。多くのウェブサービスで2段階認証をアカウントに設定すると、ワンタイムパスワードを発行するためのQRコードが表示されます。このQRコードをワンタイムパスワード発行システムに登録することで、時間経過で変化するワンタイムパスワードを生成してくれるようになります。Authenticator)」です。iOSやAndroidのストアで公開されており、自分が所有するスマートフォンでこのアプリを起動し、QRコードを認識させることで、ワンタイムパスワードが発行可能になります。Googleのサービスではありますが、このソフト自体はGoogleアカウントとは関係ないため、他の情報に連携されることはありません。バックアップ等も実施されないため、スマートフォンを変更する際などはもう一度アカウントの設定からやり直す必要があります。それでもパスワードの重要性は下がっていない多要素認証、とくに2段階認証はこれまでのID/パスワードのみによる確認から一歩進み、複数の要素を組み合わせることで本人認証をより確実に行えるようになった一つの解決策です。このように2段階認証を利用しているからといって、パスワードの運用・管理をおろそかにして良いわけではありません。フィッシング詐欺も日々進歩しており、2段階認証のステップを再現することで入力情報を搾取する、といった手法も見られ始めています。基本的なセキュリティソフトの導入はもちろん、従前の対策をしっかりと行った上で2段階認証の手続きを経ることで、よりセキュリティの強度を高めることができるのは言うまでもありません。自らの環境を見直し、その上で2段階認証の導入を目指しましょう。サポート品質、価格、管理のしやすさを分かりやすく解説。セキュリティコンサルタントが使っている選定軸と、そのまま使える比較表を掲載中です。Edgeとは何か?~次世代UTMアプライアンスで実現する高次元のセキュリティ対策~ピックアップコンテンツ猛威を振るったマルウェア「Emotet」の振り返り。