タグ: ワンタイムパスワード

【用語説明】二要素（多要素）認証について

弊社で扱っているいくつかの製品では２要素認証をサポートしている。

ワンタイムパスワードが一般的に

最近ではインターネットサービスで利用されるようになったワンタイムパスワードトークンがある。

たとえばオンラインゲームやインターネットバンキングでも利用されている。私もドラゴンクエスト１０をするためにトークンを購入した。

ID/パスワードとともにワンタイムパスワードトークンに表示された乱数を入力することでログインができるようになる。

またこの方式は、グーグルやSNSなどでも利用できるようになっており、近い将来もっと標準的なものになる可能性がある。

 

IMAG0296

多要素認証とは

今までのシステムでは本人だけが知っているべきパスワードが一般的に認証に使われている。

ただパスワードは文字の羅列だけで、それが何かを知っていれば本人でなくてもログインができる。

多要素認証はそれまでよく利用されているパスワード以外のその他の要素を組み合わせた認証方式のことである。

様々な認証方式

ワンタイムパスワードはインターネットサービスでよく見られる方式であるが、その他にもいろいろある。

生体認証

目の瞳や指紋を元に認証する。銀行のATMで指紋認証をサポートしている。

カードを用いた認証

IC（スマート）カードがある。たとえば部屋の入退出の管理などとも利用されることがある

USBトークン

USBポートにトークンを刺すことでアクセスが可能になる。

二要素認証で使われる一番目の要素はパスワードによる認証で、二番目の要素がこれらのデバイスを利用した認証になる。

なぜワンタイムパスワードがインターネットサービスで利用されるかについては、PCだけでなくスマホとかでも利用できるし何かデバイスをPCに接続することなく利用できるからだと考えられる。

エンタープライズでは機器の制約がコンシューマーと比較して低いのでワンタイムパスワードにこだわる必要がない。ワンタイムパスワードの欠点としてはいちいちワンタイムでパスワードを生成させ入力させるといった手間があるが、デバイスを接続する認証はそのような手間が必要がないのが特長である。

それぞれの認証方式は一長一短があり一概にどの方式がいいとは言えない。

関連リンク

 多要素認証ソリューション

【コラム】ワンタイムパスワード（OTP）について

当社の取扱製品ではないのだが、Mi-Tokenというワンタイムパスワード（OTP）製品を知る機会があったので紹介したい。 

IT業界でワンタイムパスワード（OTP）と言えば、まず思い出すのが RSA SecurID® ではないだろうか。Wikipedia によると、「RSA SecurIDは現在、二要素認証市場の70％を占め（出展：IDC）、2500万個以上のトークンがこれまでに生産されている」らしい。発売当初、ワンタイムパスワードは、ハードウェアトークンの形で提供されていたが、現在は、RSA に限らず、どのOTP ベンダーもソフトウェアトークンも提供している。 

SecurID が発明されたのは1986年ということだから、OTP は、意外にも随分と前から世の中に出回っている。企業向けとしては、社外から社内へのリモートアクセスに多く使われ、一般消費者向けとしては、インターネットバンキングなどの認証に使われている。RSA SecurIDの一番の競合と言えば、VASCO の DigiPass である。一般的には、VASCO は、価格がリーズナブルだということで、最近、普及が広がっている。

これらの二大 OTPベンダーの業界における地位は揺るぎないと考えられるが、近年、OATH（Open Authentication）というオープンな認証規格をベースにしたOTP製品が多くリリースされていて、機能・コスト面での競争も激しくなって来ているらしい。

Mi-Token もOATHに参加している OTPベンダーの一社で、ハードウェアトークンやソフトウェアトークンだけではなく、他社製品のトークンも管理できるソフトウェアを提供している。本社は米国にある。最初の製品は、オーストラリアの銀行向けに2005年に開発された。それ以降も製品開発は継続され、2009年に Mi-Token Inc. という独立した会社としてスピンアウトした。

Mi-Token で管理できるトークンの種類

Mi-Token はトークンを販売する会社ではなく、トークン管理をする会社として自分達をポジショニングしている。自社ブランドのハードウェアトークンも提供はしているが、OATH準拠のものであれば、他社製のトークンも管理できるソリューションになっている。また、ソフトウェアトークンは無償で提供される。モバイルソフトウェアトークンは、iOS はもちろん、Android, Windows Mobile, Java をサポートしている。

Mi-Token管理ソフトウェアの3エディション

Enterprise Edition: 企業内利用を目的としているエディション。ユーザー管理はActive Directoryで行うことが前提。SSL VPNなどのリモートアクセスや、社内アプリケーション（OWA、SharePoint）に対応。インストールも簡単で、1時間もあれば、設定まで終わることができる。 

API & Cloud Services Edition: クラウドサービスなどで提供されるアプリケーションにワンタイムパスワード認証を組み込むためのエディション。APIを提供。 

Banking Edition: インターネットバンキングなど銀行業務に必要なセキュリティ機能を装備。FIPS 140-2 Level 3認証済み。100万人ユーザーでの利用実績あり。 

Mi-Tokenの特長

次の三点に絞られるだろう。

  • 従来のOTPソリューションに比べ低価格　
  • 最新技術を使って製品開発されているため、インストール・設定が簡単、お客様のニーズにも柔軟に対応しやすい。
  • API、SAML経由での他アプリケーションとの連携が簡単

以下の図のように、従来のOTPベンダーよりも１０分の１のコスト、６分の１の時間で、本当に導入できるかどうかは、お客様の要件等にもよるだろう。しかしながら、1986年に初めて世に出てきたOTPという認証技術が今でも進化し続け、低コストを実現しているだけでなく機能面も優れている製品として、新しく生まれて来たということは興味深い。

# # #

記載の会社名、製品名等は、各社の登録商標または商標です。