スマートフォン時代のセキュリティーを支える最新認証技術生体認証、電話発信認証、ライフスタイル認証など様々な認証を組み合わせてクラウドで提供する統合認証基盤

今や個人用途でもビジネスでも、複数のWebサービスを利用することは当たり前になりました。Webサービスの利用時に一番重要なのが、利用者の本人確認（認証）であり、安全かつユーザビリティを損なわない認証を如何に実現するかが課題となっています。

一般的に使用されるIDとパスワードの組み合わせの場合、類推しやすいパスワードを使用したり、管理が面倒といった理由で複数のサービスで同じパスワードを使い回すことが多く、セキュリティーリスクとなっています。そのためパスワードに変わる認証手段が求められています。

三菱電機インフォメーションシステムズ株式会社（MDIS）では、次世代の生体認証の標準といわれるFIDO※1に加え、新たな技術である電話発信認証やライフスタイル認証など、複数の認証技術をクラウドで提供する統合認証サービス「MistyAuth（ミスティ・オース）」※2を開発しました。これによりセキュリティーとユーザビリティの両立を実現します。

• ※1FIDO；業界団体FIDO Allianceによる規格名
• ※2MistyAuth は三菱電機インフォメーションシステムズ株式会社の商標です。

スマートフォンやクラウドサービスの普及によりWebサービスが増加し、ある調査によると個人が利用しているWebサービスの数は、メール、SNS、ECサイトなど数十にのぼると報告されています。

新型コロナウイルス感染症の影響でステイホームが増えたことやキャッシュレス決済の普及により、Webサービスの利用機会やインターネット上で機微な情報を扱う機会も増え、セキュリティーに関するトラブルも増加しています。トレンドマイクロ社がまとめた「パスワードの利用実態調査 2020」※によると、約5人に1人が不正アクセスや情報流出の被害経験があると回答しており、個人情報の流出、SNSアカウントの不正操作などが上位を占めています。また、8割以上がパスワードを使いまわしていると回答しており、その理由として「異なるパスワードを設定すると忘れてしまう」「異なるパスワードを考えるのが面倒」と答えています。

こうした背景もあり、近年は生体認証などパスワードを使わない認証方式や、複数の認証方式を組み合わせて使う多要素認証に注目が集まっています。記憶に新しいところでは、2019年の大手コンビニチェーンのスマホ決済サービスへの不正アクセス事件や、2020年の携帯キャリアの電子決済サービスの口座を利用した不正引き出し問題があります。これらの事例では多要素認証を実装していなかったことが問題となり、企業、ユーザーともに危機意識が高まりました。

複数の認証方式を組み合わせる多要素認証ですが、認証の要素は一般的に、「記憶」「所持」「生体情報」の3種類に分けられます。これらの要素から2つ以上の要素を組み合わせることを多要素認証といいます。「記憶」は利用者だけが知っているパスワードや秘密の質問など、「所持」はICカード、ショートメッセージ（SMS）やワンタイムパスワード（OTP）を扱う機器などで、「生体情報」は、指紋、顔、静脈、虹彩などの身体的特徴です。

それぞれの認証方式はログイン先のサービスの内容や要求されるセキュリティー強度などに応じて導入されますが、個々に導入するのは負担がかかります。そこでMDISは複数の認証方式をクラウドサービスとして一括提供する「MistyAuth」を開発しました。提供する認証方式には、一般的なIDとパスワードによるユーザー認証に加え、FIDOによる生体認証やICカード、電話発信認証、MDISが東京大学などと共同開発したライフスタイル認証などがあります。MDIS金融第一事業部 第一サービス事業推進室でプロジェクトを推進した大江哲浩氏は、次のように語ります。

「認証サービスをクラウドで提供するIDaaSの法人向け市場は急速に伸びています。利用者数の規模が大きい個人向けWebサービスでの多要素認証においても、不正アクセス事例の多発もあり、市場ニーズが高まっています。そこで、MDISでは個人向けのWebサービスを提供する事業者を主なターゲットに、初期投資の負担が軽く、運用も容易で、ユーザーも簡単に扱えるIDaaSとしての統合認証サービスのMistyAuthを企画しました。MistyAuthを採用することで導入企業は多要素認証に必要な要素を自由に選択し、ユーザーに対して一元的に提供することができます」

• ※パスワードの利用実態調査 2020
  

https://www.trendmicro.com/ja_jp/about/press-release/2020/pr-20200929-01.html

本MistyAuthは、金融サービスや医療サービス、自治体サービス、ECサイト等の個人向けWebサービスや、Microsoft365、Zoom等の企業向けWebアプリケーションの認証を統合するサービスです。スマートフォン時代に合わせて、より簡単に認証ができる機能を提供しています。

近年、多要素認証として、SMSやOTPの認証を採用するケースが増えています。しかし、SMSは、内閣サイバーセキュリティセンター（NISC）の「小さな中小企業とNPO向け情報セキュリティハンドブック」で、その危険性が指摘されています。また、メールベースのOTPについても、複数の海外製アプリにおいてクリップボードの内容を自動的に外部送信していたことが発覚したこともあり、決して安心な認証方式とはいえなくなっています。そこでMDISではSMSやOTPに代わる新たな認証方式の開発に取り組んできました。

「MistyAuthのベースとなっているのは、MDISが得意とする医療認証基盤の構築で培った技術とノウハウです。ヘルスケア分野では、医療情報や個人情報へアクセスするための認証・資格確認において、厚生労働省が定める専用のセキュリティー対策基盤であるヘルスケアPKI（HPKI）と呼ぶ公開鍵暗号基盤を採用しています。MDISは、三菱電機 情報技術総合研究所と共同で、独自の暗号アルゴリズムを用いたHPKI認証基盤の構築やHPKIカードによる認証サービスの開発に関わってきました。MistyAuthは医療認証基盤構築で培った技術とノウハウをベースに、最新の標準規格やMDIS独自の認証技術を追加して開発しました」（大江氏）

以下に、代表的な認証技術について説明します。

以上の認証方式にはそれぞれ長所と短所があり、用途に合わせて選択することになります。例えば、ライフスタイル認証は、特別な操作をしなくても、いつのまにかAIが本人を識別する便利な認証方式です。しかし、旅行など普段と異なる行動があると判別ができません。その場合は生体認証などと組み合わせるのが有効です。

顔認識を利用した生体認証は、マスク着用時の認証に課題があります。また、FIDOでは、事前に、指紋や顔の情報を元に認証鍵を作成し、サーバーに登録しておく必要があります。端末機種交換の際は、再度同じ作業が必要となるため、利用頻度の低いサービスの認証には不向きです。その場合は、補完として電話発信認証のTELEOやICカードが有効です。