「またパスワード変更？」
「英数字と記号を混ぜて8文字以上・・・？」
「あれ？このシステムのパスワード、、なんだっけ？？」
普段の仕事のなか、パスワードに振り回されている感覚を持つ人は多いと思います。
パスワードなど本人確認をしてシステムにログインを許可するのを「認証」と呼びます。認証には大きく下記の３種類があります。これを「認証の３要素」と呼びます。
| 認証の要素 | 内容 | 具体例 | 主なリスク |
|---|---|---|---|
| 知識情報（Something you know） | 本人だけが知っている情報 | パスワード、暗証番号（PIN）、秘密の質問 | 推測される、盗み見される、フィッシングで盗まれる |
| 所持情報（Something you have） | 本人だけが持っている物 | ICカード、社員証、ワンタイムパスワードトークン、スマートフォン | 紛失・盗難、なりすまし利用 |
| 生体情報（Something you are） | 本人の身体的特徴 | 指紋認証、顔認証、虹彩認証、声紋認証 | 情報漏えい時に変更できない、精度・環境依存 |
３要素のなかでも、最近増えているのが、バイオメトリクス認証（生体認証）です。
表の如く、これは、「本人しか持っていない身体の特徴を使って、本人確認をする方法」を指します。
例をあげるとー
- 顔認証
- 指紋認証
- 声紋認証
- 虹彩認証 など
バイオメトリクス認証、スマートフォンでは、すでに当たり前になっていますね。
情報セキュリティを維持するうえで、パスワードの弱点としてよく言われるのがー
- 推測される
- 使い回される
- メモに書かれる
- フィッシングで盗まれる
ということです。わたしは若いとき、所属していた会社のパソコンの資産管理をしていた時があったのですが、当時、重役に支給されていたノートパソコンのメンテンスをするために、パソコンのふたを開くと、キーボードのうえにもれなく、本人のパスワードが書かれた付箋紙が貼っているのを目の当たりにしーー
これって、セキュリティの意味ないじゃん！・・・
と、飽きれて物も言えない気分になったのを覚えてます。
一方、生体情報は
- 忘れない
- 他人に簡単に渡せない
- 推測されにくい
というパスワードには強みがあります。
だから多くの企業が注目し、導入が進んでいます。
ただ、生体認証は便利ですが、「完璧」ではありません。
生体認証には生体認証ならではのリスクもあります。
- 顔認証 → マスクや照明で失敗することがある
- 声紋認証 → 録音音声で悪用される可能性
- 虹彩認証 → 専用機器が必要
そして、生体認証のなかで多くの会社や、個人や会社支給のスマホで使われているのが指紋認証です。
指紋認証もほかの生体認証と同じく、強みと弱みがあります。
【強み】
- 認証が速い
- 精度が高い
- 機器コストが比較的安い
- 直感的で使いやすい
客先周りをしている営業職でも、スマホを「押すだけ」で済むのは大きな利点ですね。
ただし、指紋認証は「接触型」という特徴があります。他の生体認証は機器から数十センチは離れているのに対して、指紋認証は「接触型」というのが大きな違いです。
接触型なのでー
- センサーに触れる必要がある
- 複数人で使う場合、衛生面の課題がある
- 指が濡れている・荒れていると反応しない
- 理論上は“指紋の残留”リスクがある
といったところが、指紋認証ならではの【弱み】と言えるでしょう。
また、あらゆる指紋認証を含めた生体情報は「一度漏えいすると、変更できません。」パスワードは変えられますが、身体的な特徴を活かした生体は変えられません。
ここが最大の弱点です。
ですので、パスワードのみ、生体認証のみに頼るのは危険です。
多くの企業が導入しているのが、多要素認証 です。
多要素認証は、認証の３要素である「知識情報（パスワードなど）」「所持情報（スマートフォンやICカードなど）」「生体情報（指紋・顔など）」のうち、二つ以上を組み合わせて本人確認を行う仕組みです。特に二つを使う場合は二要素認証と呼ばれます。
例えば、ID・パスワードでログインした後、スマートフォンに届く確認コードを入力したり、指紋や顔認証を追加したりする方法があります。複数の要素を組み合わせることで、不正ログインのリスクを大きく減らせます。
多要素認証を設定できるシステムは、積極的に活用するのが安全です。
