急速に進む社会のオンライン化
安全・安心の基盤となるユーザー認証の基礎知識

ユーザー認証とは、アクセスしてきた人がシステムに登録されている利用者本人であることを確認する手続きです。ユーザー認証を通過した人だけにサービスの利用を許可することで、システムを介したプライベートな情報のやりとりや経済活動を安全に実行することができます。

サイバー攻撃者は、様々な手法でユーザー認証の壁を突破して正当なユーザーになりすまし、情報や資産を盗もうとします。彼らはどうやって認証を突破するのでしょうか。例えば、現在、最も普及しているIDとパスワードを使った認証に対しては、以下のような攻撃手法があります。

このほかメールやSMSなどでユーザーを本物そっくりの偽サイトに誘導してIDとパスワードを入力させる、悪意のあるソフトをインストールさせて端末からパスワードを抜き取るといった手法もあります。

インターネット上の認証システムは常にこうした攻撃にさらされています。より長くて複雑なパスワードを利用すれば安全性は高まりますが、すべてのユーザーにその記憶や管理を求めるのは現実的ではありません。パスワード認証だけでは重要な情報を守りきれないというのがセキュリティーの世界では常識となっています。

現在では、ユーザー認証の安全性を高める手段として「多要素認証」が用いられています。多要素認証は、認証の3要素と呼ばれる「知識」「所有」「生体」のうち、2つ以上を組み合わせることで第三者によるなりすましを難しくする手法です。（表1）

「知識」は、パスワードや合い言葉など本人ならば知っているはずの情報を正しく入力できるかどうかで認証します。

「所有」は、ICカード、USBセキュリティーキー、携帯電話など物理的なモノを所有していることで認証します。

「生体」は、顔や指紋、虹彩など人間の体の情報をセンサーで読み取って認証します。

この中から種類の異なる認証要素を組み合わせることで安全性が高まります。例えば、パスワードという「知識」だけの認証では、いったん情報が漏れれば簡単に認証を突破されてしまいます。また、ICカードの「所有」だけでも現物を盗みだせば認証を通過できます。しかし、パスワードとICカードを組み合わせた認証では、ICカードを盗み出したうえでパスワードも知る必要があり、なりすましのハードルが高くなります。

上記の3要素とは異なる新しい認証要素の研究も進められています。例えば、三菱電機インフォメーションシステムズ株式会社（MDIS）では、スマートフォンのセンサーで収集したユーザーの行動パターンを認証に使う「ライフスタイル認証」という技術の研究を東京大学などと共同で進めています。

最近では、所有要素のデバイスとしてスマートフォンをはじめとした携帯電話を使うシステムが増えました。通信機能や各種センサーを備えた携帯電話では、ICカードなどの従来の所有要素とは異なる認証手法が使えます。

日本では音声SIMの契約時に本人確認が義務づけられていることもあり、発信者番号による認証は信頼性の高い認証とされています。ただ、ユーザーの携帯電話にショートメッセージ（SMS）で認証コードを送信して入力させるSMS認証には様々な問題点が指摘され、すでにセキュリティーの専門機関からは非推奨とされています。一方、ユーザーから電話をかけてもらい発信者番号で認証する、専用の認証アプリを使うなどの方法もあり、MDISから電話発信認証サービスTELEO（テレオ）が提供されています。

そのほか、携帯電話を使った認証技術としては、生体認証と暗号鍵技術を組み合わせてパスワードを使わない認証を可能にする「FIDO（ファイド）」という規格が注目されています。