Special生体情報を保管しないセキュアな顔認証で、サインインをスムーズに:度々求められるパスワードの入力に、もううんざり?テレワークの普及に伴い、「認証」に関わる作業の煩雑さはユーザー、システム管理者ともに増大した。パスワードや専用機器による認証以外に、もっと容易で、もっと安全な方法はないものだろうか——。公開[PR/@IT]PRセキュリティ対策の基本の1つが「認証」だ。端末やシステムなどの利用に当たって、アクセスしてきた人が誰かを確認し、なりすましや悪用を目的とした不正なアクセスを排除することはセキュリティ対策の第一歩であり、私たちも日々の業務の中で当たり前のように認証を行っている。新型コロナウイルス感染症(COVID-19)対策として急速に広がったテレワークの中で、何度も認証を求められ、煩わしさを感じる場面が増えてきたようだ。いって、安易にセキュリティレベルを下げるわけにはいかない。テレワークで相手の顔が見えないからこそ、なりすましを防ぐ必要性は一層高まっている。できる限り利便性を損なうことなく、企業として必要なセキュリティレベルを担保する術はないだろうか。テレワークの広がりでユーザーと管理者に負担となる「パスワード認証」テレワーク普及以前のオフィス環境でも、私たちは何らかのシステムやアプリケーションを利用するに当たり認証を行ってきた。365のようなクラウドサービスの利用など、さまざまな場面において、認証が必要である。認証の手段はいろいろあるが、広く使われているのは「パスワード認証」だろう。複数のシステムやアプリケーションでパスワード認証を行っていると、ユーザーも管理者もともに高い運用負荷に悩まされるケースが少なくない。簡単に推測可能なパスワードを設定していると、容易に破られ、なりすましによる不正アクセスを受ける恐れがある。した事態を防ぐため、記号や数字も織り交ぜた長いパスワードを設定することが望ましいのだが、それをシステムやアプリケーションごとに別々に考え、覚えなければならないユーザーの負担は増大し、忘れたり、間違えたりすることも少なくない。この結果、管理者は「パスワードを忘れてしまったので何とかしてほしい」というユーザーの問い合わせに追われ、貴重な時間を削られることになる。パスワードの定期的な変更を求められるシステムでは、数カ月おきに複雑なパスワードを考えて覚えておかなければならず、ユーザーに掛かる負担はますます大きくなる。SP800-63B)や総務省の国民のための情報セキュリティサイトでも「パスワードの定期的な変更は必要ない」としているが、まだまだこうした環境は多い。して「長くて複雑なパスワードを設定せよ」、しかし同時に「定期的に変更せよ」と求められると、複数のシステムやアプリケーションで同一のパスワードを使い回してしまうユーザーも多いのではないだろうか。これは、セキュリティ的に大きなリスクをはらんでいる。一度フィッシング詐欺やマルウェア感染などでパスワードを盗み取られると、芋づる式に他のシステムへ侵害が広がる恐れがあるからだ。テレワークの普及が、こうした状況に拍車を掛けている。自宅などからVPN経由で社内ネットワークにアクセスし、業務システムを活用する場面が増えたが、それに伴って、パスワードで認証しなければならない機会も増えているからだ。技師の大渕豊氏は語る。認証問題に関して、もう1つ考えておかなければいけないポイントがある。テレワークの普及に伴い、サイバー攻撃を行う側も、こうした環境をターゲットにするようになったことだ。テレワーク環境では、企業ネットワークとは異なり、セキュリティ対策が不十分な場合もある。結果、フィッシング詐欺に引っ掛かったり、不審なリンクをクリックしてマルウェアに感染して、社内システムへの侵入のきっかけになってしまったりするケースが国内でも報告されている。した点を踏まえると、認証は省くどころか、むしろ一層強化していく必要がある。そこで今広がっているのが、パスワード以外の要素を用いた認証だ。ワンタイムパスワードを生成する専用トークンを用いたり、ICカードを活用したり、スマートフォンのSMS機能を用いてコードを送信する方式などいろいろな選択肢がある。中でもセキュリティ面で非常に強固とされているのが、指静脈や虹彩、顔など、人間の生体情報によって認証する「生体認証」だ。主任技師の中野信氏は指摘する。生体認証はなりすましが難しく、非常に強固な認証を可能にする一方で、個人のプライバシーに関わる不変の情報を利用する。万一、その生体情報自体が漏えいしてしまった場合、パスワードとは異なり更新することもできず、取り返しの付かない事態を招きかねない。プライバシーに対する意識が高まり、規制も厳しさを増している中では、生体情報を保持すること自体がリスクになりかねないのだ。Infrastructure:公開鍵暗号基盤)をベースにしている。公開鍵暗号方式によって認証する点は変わらないが、PBIでは、生体情報から復元不可能な一方向性変換によって抽出したデータをその都度秘密鍵として利用し、認証を行う仕組みとなっているため、生体情報そのものはどこにも保存されない。Online)が挙げられる。スマートフォンなどの手元の端末で生体認証を行い、本人確認できれば、PCなどの端末内に保存されている「秘密鍵」を呼び出して最終的な認証を実現する仕組みだ。「FIDOでは、もし端末が盗難に遭ったり、故障したりした場合には認証ができなくなり、業務に支障が出る可能性があります。新たに端末を取り寄せ生体情報を再登録するといった手間が掛かるのですが、PBIは再登録なども不要でリカバリー性に優れています」と中野氏が特徴を述べる。サービス」を展開してきた。金融機関での採用例があり、キャッシュカードなどを持たずに手ぶらでATMを利用できるサービスへの適用例がある。サインインソフトウェア」だ。リモート環境からの利用イメージPCなどに標準で搭載されているカメラ機能で利用可能な「顔認証」を用い、セキュアで手間の掛からない形でWindowsのサインインを行える。シングルサインオン連携により、VPN接続時の認証や企業内の業務アプリケーション、さらには主要なクラウドサービスに対するアクセスも、顔認証に一本化することができる。サインインソフトウェアを利用すれば、PCやタブレット端末のカメラに顔を写すだけで、スムーズに認証可能です。パスワードを入力する手間も不要で、別途新たな認証装置を追加する必要もありません」(大渕氏)システムやアプリケーションなどへの認証方式を顔認証に一本化することで、これまで、端末を起動してPCにサインインし、VPN接続を行い、業務アプリケーションにアクセスし......という作業のたびに必要となっていたパスワード入力の手間を省き、一括して認証を強化できるようになる。サインインソフトウェアは、ユーザーだけでなくシステム管理者の負荷を減らすうえでも有効だ。端末側に認証装置を用意する必要がないうえに、クラウドサービスと連携するため認証サーバの準備も不要で、スモールスタートが可能だ。「セルフ登録機能」によって、ユーザー自身で利用登録が行えるようになっている。「リモートで認証できるようにする前段階として、管理者が管理画面を開いている横にユーザーを呼んで、顔や静脈などの生体情報を登録するという運用では、そのために出社が必要になり登録作業自体も煩雑です。サインインソフトウェアでは、自宅にPCが届いたら、ユーザーが自分で利用登録し、認証できるようにする仕組みを提供しています。利用登録の際は、生体情報から特徴を抽出し一方向性変換したデータを登録するため、生体情報そのものは登録されません」(大渕氏)管理者自身もWebベースで運用管理作業ができるようになっており、「テレワークを支えるために、システム管理者は出社しなければいけない」といった矛盾から解放されるだろう。仕事の場はもちろん、日常生活のさまざまな場面への活用も日立ソリューションズでは今後もPBIを核にしたソリューションを強化し、VPNアプライアンスや仮想デスクトップ製品をはじめ、連携可能なソリューションを増やしていく計画だ。サインインソフトウェアと、端末自体の認証やセキュリティ状態を管理するツールとを連携させ、不正なユーザーだけでなく、私物や不正な端末からのアクセスを防ぐ機能の提供も検討していく。大渕氏は、まだしばらくパスワードとの付き合いは続くかもしれないが、生体認証の活用により、パスワード入力の機会は少なくなっていくだろうと予測する。PBIはその変化を加速させ、テレワークや働き方を変えるだけでなく、決済サービスや公的な身分証明の場など、さまざまな場面で安全で使いやすい認証を実現していくだろう。メールマガジンをご購読ください。申し込みページへ利用規約ITmediaはアイティメディア株式会社の登録商標です。