パスワードが不要？FIDO認証の仕組みやメリット・デメリット

現代は情報システムにおけるセキュリティの重要性が高まっています。従来のパスワード管理ではいくつか課題が存在しており、企業は情報漏えいや不正アクセスなどの脅威から身を守るため、さまざまな施策を講じています。このようななか、パスワードを使わずにより安全かつ簡単に行える認証規格として、注目されているのが「FIDO認証」です。そこで、この記事ではFIDO認証の概要やメリット・デメリットについて解説します。

パスワード管理における課題とは

パスワードによるID認証は、現在広く浸透している方法です。しかし、この認証方法には課題も残されています。そもそもパスワード認証とはIDと対になるパスワードを送信し、情報を受け取ったサーバー側があらかじめ登録済みのID・パスワードのセットと一致するか確認・認証するものをいいます。これはIDの正規所有者である証拠・秘密の情報をユーザー側とサーバー側の両者で共有・提示することによって、証明がなされる仕組みです。しかし、これはセキュリティが万全であるかというと、そうとも言い切れません。

例えば、IDの正規所有者以外でも、IDとパスワードの正しい組み合わせさえ把握・提示できてしまえば、サーバー側に認証されてしまうのです。IDとパスワード、両方の情報をセットで第三者に知られなければ、パスワード管理はおおむね安全性が保たれます。しかし、世の中にはIDやパスワードの情報を入手し、なりすましを行おうとする悪意のある人もいます。その攻撃手法は多岐に渡り、一例としてシステムの脆弱性を利用し、サーバーに登録されているIDやパスワードを盗むこともあるのです。それ以外にも、ユーザーの利用端末にマルウェアを仕掛けたり、偽物のサイトへ誘導して情報の入力を促したりするケースもあるでしょう。

場合によってはユーザーが保管するメモなどの情報を盗み見たり、内部者が情報を盗んだりすることもあります。ユーザーがほかの利用サービスと同じパスワードを使い回している場合、そこからIDとパスワードの情報がセットで流失し、攻撃者が認証突破を目論む可能性も考えられます。また、ユーザーが簡単なパスワードを使っている場合は、パスワード推測攻撃によって認証突破されるケースもあるでしょう。
例として、総当たり的にログイン試行を続けるブルートフォース攻撃は自社システムで検知しやすいですが、複数のユーザーに対してIPアドレス・時間を変えるなどのパスワードスプレー攻撃は検知しづらく、知らないうちに漏洩されているケースもあります。
このように、自社のセキュリティ対策をしっかりと行っている場合でも、すべての攻撃を防げるとは限りません。

システム側でできる対策もありますが、ユーザー側が入念な対策を実施しない限り、どうしても安全性は保証できないのが現状です。サーバー側とユーザー側だけで秘密の情報を守ることは、現実的には非常に難しいといわれています。これがパスワード認証における大きな課題となっているのです。

FIDO認証とは

手軽でより安全性の高い認証方式として、注目されているのが「FIDO認証」です。FIDO認証とは一体どのようなものなのか、概要や特徴をチェックしていきましょう。

FIDO認証の概要

FIDOとは「Fast IDentity Online」の略称であり、日本語にすると「素早いオンライン認証」という意味を持ちます。従来のパスワードによる認証方式に代わるといわれている認証技術です。パスワードレス認証を実現するための方法の一つであり、FIDO認証は業界水準になるという見方もあります。

FIDO認証の成り立ち

ネットワークにおける本人確認は、長期にわたりID・パスワードの認証方法が使用されてきました。しかし、前述したようにID・パスワードによる認証方法はセキュリティ上の問題が残されており、その不備を保管する目的として多要素認証が開発されたのです。多要素認証とは、複数の認証キーを用いて認証を行うものをいいます。具体的には、端末ごとに作った端末ID、指紋や虹彩などの生体情報、そのときだけ使えるワンタイムパスワードといった認証方法が挙げられます。生体情報以外の認証では、その鍵となる媒体そのものを物理的に盗まれてしまうと不正ログインは可能となるでしょう。

そのため、多要素認証として指紋・顔・静脈・指紋などの生体情報を用いた認証方式が注目されるようになりました。そして、2012年になると生体認証をもとにして、手軽なオンライン認証基盤を実現するための「FIDO Alliance」が結成されたのです。FIDO AllianceはFIDOの開発と普及を担う業界団体です。規格の策定および普及の推進活動が実施されています。

FIDO認証の特徴

FIDO認証の特徴は、ユーザー側がパスワードを把握しておく必要がないことです。生体認証を利用するため、ユーザーはいちいちパスワードを覚えておかなくても済みます。また、端末側で生体認証を実施するため、生体情報そのものがネットワーク上に流れません。本人認証情報はセキュリティキーやデバイスなどに格納されています。サーバーで情報を保持しなくても済むことが大きな特徴といえるでしょう。

FIDO認証の種類

FIDO認証と一口にいってもいくつか種類があり、仕様が異なります。主な種類としては、以下のようなものが挙げられます。

FIDO UAF

FIDO UAFは「Universal Authentication Framework」の略称です。この種類はFIDO認証に対応したデバイスが必要です。

FIDO U2F

FIDO U2Fは「Universal Second Factor」の略称であり、FIDO認証に対応したデバイスが必要となります。デバイスへのログインはIDとパスワードを使います。

FIDO2

FIDO2は「FIDO UAF」「FIDO U2F」を統合した仕様で、主にWebサイトのログイン認証時に利用します。認証専用のソフトウェアやハードウェア、パスワードを使わずにユーザーを認識できます。

FIDO認証の仕組み

FIDO認証はサーバー側でデバイス認証、デバイス側で生体情報を使用した本人認証を実施します。いわゆる「公開鍵暗号方式」を用いるものであり、端末側とサービス側とで秘密の情報を共有しない仕組みになっているのです。具体的には、デバイス認証用の鍵のペアを作成し、あらかじめサーバー側に公開鍵を登録しておきます。その後、生体認証を用いてデバイスに格納した秘密鍵のロックを解除します。

FIDO認証の流れ

FIDO認証は具体的にどのような流れで行われるのか、手順をチェックしていきましょう。まず、端末側で公開鍵と秘密鍵のペアを作ります。そして、作った公開鍵をサービス側に提供します。次は、ユーザーがログインする段階です。ログインにあたり、サービス側から認証要求・チャレンジが送られます。ユーザーは生体認証などを実施し、端末にログインします。このとき、ログインができれば生体認証が成功している証拠です。送られてきたデータを、端末にある秘密鍵で暗号化・提供します。それを受け、サービス側は公開鍵で署名を検証します。その結果、問題がみられなければログインとなる流れです。

FIDOの普及状況

安全性が高く注目されているFIDOですが、普及状況はどうなっているのでしょうか。FIDO認証の技術は、日本国内の企業でも導入が広がっています。メガバンクのネットバンキングや大手ネットサービス事業者など、ユーザー認証の手法としてすでに採用されている事例があります。今後も多くの企業が導入し、普及する可能性があるでしょう。認証のスタンダードになるともいわれているFIDO認証を導入することは、セキュリティ面でのアピールにもつなげられます。

FIDO認証を利用するメリット・デメリット

FIDO認証の利用を検討する際に、知っておきたいのがメリットとデメリットです。両方をきちんと把握したうえで、導入を視野に入れることが重要といえます。ここでは、FIDO認証にどのようなメリット・デメリットがあるのか、詳しく見ていきましょう。

FIDO認証を利用するメリット

FIDO認証を利用するメリットには、以下のようなものが挙げられます。

情報漏えいのリスクを回避できる

FIDO認証は事業者がサーバー側でパスワードや生体情報を保持しなくて済むことが大きなメリットといえます。認証のために使うデータはデバイス側で処理されます。したがって、生体情報がサーバー側にわたることはありません。サーバー側は公開鍵だけを持つことになります。公開鍵はその名前の通り公開情報であるため、万が一盗まれたとしてもセキュリティ上の脅威にはなり得ません。サービス側が悪意のある人物から攻撃を受けた場合も、利用者の情報が流出してしまうリスクを避けられます。企業にとって大きなリスクとなる情報漏えいを防げることは、非常に大きなメリットといえるでしょう。

利用者の負担を軽減できる

IT化の普及にともない、インターネット上のショッピング・バンキングなどのサービスを利用する人も多くいます。その一方、サービスを利用する人のパスワードや個人情報を狙った被害も増加し、問題視されています。こうした不正ログインなどの被害を防ぐため、パスワードを複雑で推測されにくいものにしたり、使い回しを避けたりするなどの対策を取る利用者も少なくありません。しかし、パスワードは利用者自身で管理する必要があり、どうしても負担が大きくなりがちです。FIDO認証はそもそもパスワードを使わないため、このような課題解決にも役立ちます。利用者の負担を減らし、より安全で簡単なログインが可能になります。

FIDO認証を利用するデメリット

FIDO認証にはメリットもある一方、デメリットもあります。主なデメリットには、以下のようなものが挙げられます。

デバイスを紛失すると問題解決までに時間がかかりやすい

FIDO認証は便利な反面、ユーザーがデバイスを忘れたり紛失したりした場合に利便性が損なわれるというデメリットがあります。従来のパスワードによる認証方式であれば、万が一パスワードを忘れた場合でも簡単に再発行を行うことができました。ところが、秘密鍵を作成したデバイスを紛失した場合、ログインは不可能もしくは極めて困難になるでしょう。FIDOに対応したサービスはこのような事態に備えて、ユーザーの特定方法を考えておくことが重要です。とはいえ、対策を講じていたとしても、解決にはどうしても時間がかかりやすいことを念頭に置く必要があるでしょう。

仕様によっては専用デバイスが必要になる

前述のように、FIDO認証にはさまざまなものがあります。FIDO2以前の規格である「FIDO UAF」「FIDO U2F」の場合、専用デバイスを用意しなければならない点に注意が必要です。専用デバイスを用意する手間がかかること、導入におけるハードルの高さを感じやすいことがデメリットといえます。

FIDO認証に対して不正アクセスはできる？ケース別に解説

FIDO認証は不正アクセスに対してどのような対策が設けられているのか、また十分なセキュリティ効果を得られるのか、気になる人もいるでしょう。そこで、ここではケース別に不正アクセスが可能かどうか解説します。

認証要求をした場合

ここでは、一例として不正アクセスを目的とし、サーバー側に認証要求を行うケースについて見ていきましょう。前提として、署名を行うにはユーザーのデバイスに保管されている「秘密鍵」が必要です。登録するときに使ったデバイスを所持していないと、署名を作ることはできません。万が一、デバイスを盗み所持しているとしても、秘密鍵を使用するには指紋認証や顔認証などが求められます。つまり、第三者が不正アクセスをするためには、デバイスの所有と生体認証をクリアする必要があるということです。これらを踏まえると、非常に強固で十分なセキュリティが確保されているといえるでしょう。

秘密鍵を盗み出そうとした場合

ここでは、不正アクセスに必要となる「秘密鍵」を盗み出すことができるかどうか、考えてみましょう。例えば、サーバーシステムの脆弱性を突いて、認証情報を盗み出すとします。しかし、サーバーには署名と公開鍵しか保管されていません。したがって、この場合は秘密鍵を盗み出すことはできないでしょう。仮に公開鍵が流出してしまったとしても、署名そのものは行えません。公開鍵から秘密鍵を作ることもできないでしょう。また、フィッシングサイトなどにユーザーを誘導した場合も、そこでやり取りされる情報は署名となり、秘密鍵ではありません。

秘密鍵はデバイスで作られたあと、そもそも外部に持ち出す機会がないのです。厳重に保管された秘密鍵を入手するためには、物理的にデバイスそのものを盗む必要があります。この場合においても、秘密鍵を使用したデバイス認証をクリアしなければならず、セキュリティは保たれるため安心です。

FIDO認証でセキュリティの強化を目指そう

FIDO認証は安全性の高いID認証技術です。公開鍵暗号方式を用いており、サーバー側とデバイス側とで、秘密の情報を共有しない仕組みになっています。セキュリティが強固で情報漏えいのリスクを回避できること、利用者がパスワードを管理せずに済むなどのメリットもあります。興味がある場合は、導入を検討してみてはいかがでしょうか。

当社は、SAPのパートナー企業として認証基盤クラウド（iDaaS, CIAM）ソリューションであるSAP Customer Data Cloud（CDC）の導入支援に豊富な経験を有しています。SAP CDCは一般的なパスワード認証に加えて、ソーシャルログイン、二要素認証、リスクベース認証、そしてFIDOにも対応しております。GDPRなどのプライバシー法規制対応とセキュリティ強化に関心をお持ちの方は、グローバルで高い評価を受けるSAP CDCの国内における豊富な導入支援実績を有し、高い評価を受ける当社にどうぞご相談ください。