パスワードはデータやアカウントを保護するために長年使われてきた。セキュリティのために使用されているにもかかわらず、パスワードの使用が常に最良の選択肢であるとは限りません。サイバーセキュリティの脅威に対抗する場合は特にそうだ。実際、パスワードは弱点とみなされることもある。

パスワードレス認証パス

パスワードの使用にはさまざまなリスクが伴う。例えば、ユーザーはパスワードを忘れてしまう可能性がある。また、多くの人が異なるシステム間でパスワードを再利用するため、簡単に漏洩してしまう。パスワードレス認証は、より良い代替案と考えられている。

その名が示すように、パスワード・フリー認証には、パスワードに依存する代わ りの認証方法の使用が含まれる。一般的な方法としては、セカンダリー・デバイスやアカウントを使った認証、バイオメトリクス認証などがある。

サイバーセキュリティのリスクを軽減するだけでなく、パスワードレスにすることで摩擦を減らし、ユーザーがよりスムーズに利用できるようになる。機関側にとっては、経費削減につながる。同時に、売上や利用者数の増加にもつながる。

サイバーセキュリティのためのパスワード不要認証の導入

パスワードレス認証を適用するには、さまざまな方法がある。また、想像以上に複雑である。企業が何を選択するかにもよるが、専用の開発リソースを長期間確保する必要があるかもしれない。

幸いなことに、信頼できるサービス・プロバイダーと協力することで、組織はいくつかのステップを省略することができる。実際、サービス・プロバイダーの助けを借りれば、組織はユーザに対してパスワー ドレス認証を簡単に導入することができる。

ノクノクが学んだこと

パスワードレスは一朝一夕に実現するものではない。これはNok NokがAuthenticate 2021のプレゼンテーションで指摘した主なポイントのひとつだ。その理由として、既存のシステムやプロセスがセキュリティ慣行に深く根ざしていることが挙げられる。また、パスワードレス認証を完全に採用するために必要な行動変容を発展させるのにも多くの時間を要する。さらに、パスワードレス化は、通常、より大規模なデジタル・トランスフォーメーションに含まれる。

Nok Nokはまた、さまざまな機関のシステムにパスワード不要認証を適用した経験についても紹介しました。これらのパートナーシップの結果に基づき、Nok Nokはすべての企業が成功を収めていることを誇りに思っています。

最も注目すべき統計は以下の通りである：

• オンボーディングの成功率が10％向上
• オンボーディング時間を50%短縮
• サインイン成功率6％増
• サインイン速度が78％向上

パスワードフリー化は、機関にとってもエンドユーザーにとっても多くのメリットがある。しかし、適切に実施することが重要である。

より安全なサイバーセキュリティのための認証技術について詳しくお知りになりたい方は、Nok Nokまでご連絡ください。

サイバーセキュリティは、米国が直面している喫緊の課題のひとつである。脅威は政府、組織、機関、そして個人にまで影響を及ぼしている。

Identity Theft Resource Center（ITRC）によると、2021年1月から9月までに米国で公に報告されたデータ漏洩は1291件で、約2億8100万人に影響を与えた。比較すると、この合計は2020年の同時期に記録された情報漏洩よりも17％多い。

政府の取り組み連邦ゼロ・トラスト戦略

この問題に対処するため、政府はサイバーセキュリティを向上させる方法を模索している。2022年1月26日、連邦ゼロ・トラスト戦略が発表された。行政管理予算局（OMB）は、この戦略を覚書M-22-09として公表した。ゼロ・トラスト・サイバーセキュリティ原則に向けて米国政府を動かす。

この動きは、政府全体の取り組みを通じてより良いセキュリティ・アプローチを推進し、アクセス制御の面で新たな基準を設定することを目的としている。強調すべき重要な点は、フィッシングに強い多要素認証（MFA）を優先的に使用することである。さらに、保護と監視を強化するためにIDシステムを統合する必要もある。

戦略を理解する

戦略の中核にあるのは、ビジョンとアイデンティティに関する行動という2つの主眼である。

一般的に、政府機関の職員は、業務で使用するアプリケーションにアクセスするために、企業で管理されたIDを使用しなければならない。より巧妙なサイバー攻撃から職員を守るためには、フィッシングに強い多要素認証を導入する必要がある。

つの行動を取らなければならない。

第一に、各機関は利用者の集中管理システムを持つべきである。 

第二に、組織全体で強力なMFAを使用することである。具体的には、全機関のスタッフ、請負業者、パートナーはフィッシングに強いMFAを使わなければならない。一方、一般ユーザーにもこのオプションを与えるべきである。さらに、パスワードに特殊文字を使用したり、パスワードを定期的にローテーションしたりする必要はない。

第 3 に、機関は、リソースにアクセスする権限をユーザに与えるときに、少なくとも 1 つのデバイス・レベルのシグナルを持つことを考慮すべきである。この信号は、認証されたユーザーに関する ID 情報と並ぶ追加セキュリティである。

FIDOスタンダード

この戦略の発表を通じて、連邦政府はFIDO2標準の使用も奨励した。このように、フィッシングに強い多要素認証の利用を促進し、人々のパスワードへの過度な依存を減らすというFIDOアライアンスの努力をさらに認めることになる。

FIDO2 は FIDO アライアンスの最新仕様である。Web認証（WebAuthn）仕様とClient-to-Authenticator Protocol（CTAP）が含まれる。FIDO2プロジェクトの詳細は こちら。

米国国土安全保障省（DHS）のサイバーセキュリティ＆インフラセキュリティ局（CISA）は最近、最新の多要素認証（MFA）ガイドを発表した。その中でCISAは、FIDOをMFAのゴールドスタンダードと位置づけている。

認証標準の開発と普及を目指すオープンな業界団体であるFIDOアライアンスは、この進展を歓迎している。今回のアップデートは、パスワードへの世界の過度な依存を減らすというFIDOのミッションに沿ったものだ。これと新しい連邦ゼロ・トラスト戦略により、米国政府はFIDO標準の使用が望ましいという明確なメッセージを送ったと見られる。

MFAとは何か？

認証は、サイバーセキュリティを確保する方法の一つである。認証とは、ある人物の身元と認証情報を検証し、その人物が本人であることを確認するプロセスである。セキュリティをさらに強化するために、多要素認証が導入された。二要素認証とも呼ばれる。 

その名が示すように、認証方法の組み合わせが含まれる。例えば、ユーザーがオンラインや銀行のモバイルアプリから銀行口座にアクセスしたいとする。その場合、知識、所有、または特徴を使用するMFAを通過しなければならない。

複数のステップを持つことで、ハッカーがアカウントをクラックしたり、盗んだり、侵害したりすることが難しくなる。

MFAの有効化

CISA は、計画から実行段階までの詳細なガイドを提供しています。組織は、これを利用して認証プロセスを強化することができます。  

しかし、MFAガイダンスの最新の更新では、MFAを有効にする方法が強調された。同庁が列挙したさまざまな認証形式には、テキストメッセージ（SMS）、電子メール、認証アプリ、プッシュ通知がある。

さらに、CISAはFIDOキーの使用についても言及した。 

Fast Identity Online（FIDO）とは、パスワードへの依存を減らしつつ、サイバーセキュリティを確保するのに役立つ標準化された認証プロトコルのセットを指しています。主要なブラウザやスマートフォンに組み込まれています。一方、FIDOキーとは、携行可能なセキュリティキーを指しています。MFAの一部として追加認証方法として使用するハードウェア・デバイスです。家の鍵の暗号化バージョンと考えることができます。  

このようなセキュリティ対策は、情報へのアクセスをより困難にするのに役立ちます。パスワードやユーザー名が、フィッシングやより巧妙なパスワード・クラッキングのような様々な攻撃によって危険にさらされることが多い昨今、特に必要とされている。

さらにCISAは、電子メール・アカウント、金融サービス、ソーシャル・メディア・アカウント、オンライン・ストア、さらにはゲームやエンターテインメントのストリーミング・サービスでも多要素認証を使用することを推奨した。CISAはまた、消費者に対し、より良いセキュリティのためにMFAを有効にするよう企業や組織に要請するよう奨励した。 

テクノロジーが進歩するにつれ、サイバー攻撃も進歩している。ハッカーは、サイバーセキュリティを克服する、より洗練された方法を見つける。データと情報システムを保護するために、組織は認証を使用する。

それは何か

一般に、認証とは、ユーザーの身元を認識するプロセスを指す。アプリケーションの開始時によく見られる。

さまざまな資格が関係する可能性がある。これらは3つに分類できます。  

最初のものは知識である。アプリケーションやシステムは、ユーザーが知っている何かを尋ねる。それは暗証番号であったりパスワードであったりする。

つ目のカテゴリーは、所有物またはユーザが持っているものである。これは、認証アプリケーショ ンや SMS ベースのワンタイム・パスコード（OTP）である。

3つ目のタイプは特徴である。これは、顔スキャンや指紋など、ユーザーが誰であるかを確認するものを指す。 

さまざまな認証方法

サイバーセキュリティにとって最良の方法は、多要素認証、あるいは二要素認証と呼ばれるものである。しかし、ソーシャルメディア企業のアカウント・セキュリティ・レポートで報告されているように、ツイッターのアクティブ・ユーザーのうち、この方法を利用しているのはわずか2.3％に過ぎない。

二要素認証を利用していると答えた人のうち、79.6％がSMSベースのOTPを利用している。問題は、SMSが最も安全性の低い認証方法の一つであることだ。

すべての多要素認証システムが同じではないことを理解することが重要である。より安全な方法を利用するものもある。これをよりよく理解するためには、二要素認証でよく使用される認証方法のいくつかを知る必要があります。

• SMSベースのワンタイムパスワード：SMSベースの認証は、多要素認証を実現する。しかし、SIMスワップやフィッシングなどの一般的なサイバー脅威や攻撃を防ぐという点では、最も効果が低いと見られている。また、最も便利な方法でもない。
• 認証アプリ：ユーザーは認証アプリをインストールし、継続的に新しいコードを生成して、ユーザーが自分のアカウントに結びついたデバイスを所有していることを証明する。SMSよりはましかもしれないが、認証アプリを使用することは、フィッシングや高度な攻撃によって傍受される危険性がある。 
• セキュリティ・キー：物理的な認証デバイスを指す。ユーザーは、Bluetooth、NFC、またはUSBを通じてデバイスに接続する。セキュリティ・キーは、アプリケーションやウェブサイトにアクセスしようとする際に、本人であることを証明する役割を果たす。最大限の保護を確保するためには、FIDO標準に準拠したセキュリティ・キーを持つことが最良の選択肢となる。 
• バイオメトリクス：バイオメトリクスとは、認証されたユーザーに固有の特徴を指す。それは顔スキャンであったり、指紋であったりする。FIDO標準に従ったオンデバイス・バイオメトリクスは、利便性を提供するだけでなく、フィッシングに強い技術を備えている。

サイバーセキュリティをさらに向上させるために、組織やサービス・プロバイダーは、よりシンプルで優れた認証オプションを提供しなければならない。そして次のステップは、ユーザーやクライアントに二要素認証を有効にするよう説得することである。