パスワードなしでログイン? より身近になったパスワードレス時代

本ニュースリリースは、アンラボコリアより発表された内容を翻訳したものです。

================================================

インターネットを使用していると「IDまたはパスワードが一致しません」というメッセージをよく目にする。一般的にホームページに会員登録する際には、英大文字、英小文字、数字、特殊文字を含む、かつ IDと重複しない10文字以上のパスワードを設定しなければならない。その結果、「a24&*375FT59!」のような人間の記憶力では到底覚えられないパスワードが作られるが、大半の Web サイトではパスワードを３か月に1度変更するように勧めており、ユーザーをさらに困らせる。

外国メディアの報道によると、Google や Apple、Microsoft、Naver、Samsung といったグローバル大手 IT 企業は以前からパスワードのない世界を準備してきたという。それが FIDO (Fast IDentity Online) アライアンスだ。

2012年7月に設立された協議会「FIDO アライアンス」は、オンライン環境でパスワードを代替する安定性のある認証方式である FIDO 技術標準を定めるために設立された。FIDO は ID とパスワードの組み合わせの代わりに指紋や虹彩、顔、静脈、声などの生体情報を利用する次世代認証システムだ。 FIDO アライアンスは、この技術標準を定めるために設立された。会員社に Samsung Electro-Mechanics、Trust Key、BlackBerry、Crucial Tec、Google、Lenovo、Mastercard、Microsoft、Pay Pal、LG Electronics などがある。

FIDO アライアンスがパスワードを代替する技術標準を定める理由は、パスワードなしでもセキュリティを安全に維持するためだ。アメリカ国立標準技術研究所が規定する認証保証レベルは1、2、33段階に分かれるが、FIDO 標準に従うとセキュリティレベルが最も高い AAL3を満たすようになる。FIDO　標準の各項に従うだけでフィッシングを予防することができ、サーバー、ユーザー情報を含むペイロードが再利用される危険性も減らすことができる。

FIDO アライアンスは2014年にモバイルアプリから生体情報でログインできる技術標準 FIDO 1.0を公開したことを皮切りに、2018年には Web で使用可能な技術標準　FIDO 2.0も公開した。 FIDO 2.0が公開されてから、モバイルデバイスのみに対応していた FIDO 認証が Web ブラウザを使用する多様なデバイスでも利用できるようになった。

スマートフォンの指紋認証および顔認証が FIDO 認証の代表的な例で、主な事例として GALAXY S5がサポートする Pay Pal 指紋認証決済、iPhone の Face ID、Microsoft の Windows 10以降のバージョンでの FIDO 認証対応および Naver Cloud FIDO2認証サーバーの FIDO 公式認定取得などがある。

今後、FIDO の標準技術で作った秘密鍵をユーザーデバイスに、公開鍵を Web サーバーに保存し、ユーザーがスマートフォンのロックを解除すると PC から接続したサイトにすぐにログインできるようにする方式が適用されるとみられる。スマートフォンのロック解除が暗号鍵を確認する役割も果たすことになるのだ。これはすなわち、デバイス、OS、ブラウザの種類にかかわらず動作することを意味する。

FIDO アライアンスによると、この方式はユーザーデバイスとサイトが互いに暗号鍵を確認する必要があるため、ハッカーが本物のサイトそっくりの偽サイトを作ってパスワード入力を誘導するフィッシングも防ぐことができる。偽サイトは暗号鍵を持っていないからだ。

昨年の12月にApple と Google、Microsoft がパスワードを入力せずにログインする技術を拡大すると発表した。FIDO アライアンスとワールドワイドウェブコンソーシアム (W3C)　のパスワードなしのログイン標準を迅速に確立するための支援を拡大する方針だ。

今後はパスワードを入力しなくても指紋や顔認証、個人識別番号 (PIN) などを通じてログイン認証が行われるようになる。ユーザーはアカウント別にいちいち登録しなくても、複数のデバイスでパスキーで自動的にアクセスできるようになる。また、OSや Web ブラウザにかかわらずモバイルデバイスに登録された FIDO 認証を活用して周辺機器アプリや　Web サイトにログインできるようになる。

例えば、iPad にサービスを一度登録すれば、他の Apple デバイスでサービスにアクセスする際に自動的に本人認証が行われる。この機能は OS 間でも動作するため、PC でサービスに接続すると iPhone 生体認証を通じてログインできる QR コードが提供される。新しいデバイスでパスワードを入力する必要はなく、これは Android などの他の生態系のデバイスにもすべて同様に適用される。