FIDO2普及元年、脱パスワードで変わる認証システム：IT導入完全ガイド（3/3 ページ）
パスワードの必要ない世界を実現するといわれる「FIDO」。2018年には、ブラウザでの認証をより便利にする「FIDO2」が発表され、2019年は“脱パスワード”が進むと予想できる。今知るべき、FIDOの各仕様の概要とメリットを解説する。
煩雑なパスワード管理を必要としない利便性
FIDOの仕組みを利用することで、ユーザーの認証シーンはガラリと変わる。完全なパスワードレスを実現するUAFを利用すれば、複雑なパスワードを考えて管理したり、IDとパスワードを入力したりする煩わしさから解放される。認証器をサービス側のサーバに登録する手続きをしてしまえば、あとは生体情報を使って便利に認証を完了できるようになるのだ。また、一部パスワードの利用を残すU2Fであっても、SMS経由や専用のアプリケーションにより発行されるワンタイムパスコードを使用した際と比べ、認証にかかる時間が半減したという例がある。
安全性と利便性が評価され、コンシューマー向けサービスを中心に実績も増えている。例えば、みずほ銀行ではネットバンキング「みずほダイレクトアプリ」にFIDOを採用し、指紋、顔、虹彩認証によるログインを可能にしている。今後は、出金や決済などの用途にも対象を拡張予定だ。フィンテック関連のアプリではセキュリティと利便性が求められるが、その双方が評価された事例といえる。またFIDO2のリリースによって、ブラウザを介した認証がより便利になったことで、ECサイトなどの領域でも活用が広がると予想できる。今後はWebブラウザからECサイトを開いて買い物をするような場面で、カメラ搭載PCによる顔認識などを行い、決済がスムーズになることも考えられる。
サービスを提供する企業にとって、認証の安全性を確保しながら、その利便性を高められることのメリットは大きい。従来は、認証時に必ず発生していたユーザーの離脱も削減できる。
さらに、秘密の情報を共有しないFIDOの仕組みによって、企業はパスワード管理の手間からも脱却できる。自社のサーバにパスワードを暗号化して保管したり、ユーザーとの暗号化通信に用いる共通鍵などを保管したりする必要もない。もちろん、ユーザーのパスワード忘れなどに対応するサポート業務や自動対応システムも不要だ。
コンシューマー分野だけでなく、エンタープライズの分野でも実績が増えている。例えば、NTTデータは就業管理システムやメール、決裁などの社内システムで必要な認証にFIDOのUAFを適用させ、モバイル向けのアプリから各システムを利用できる仕組みを構築した。これによって、社外にいても会社支給または事前確認済みの個人所有スマートフォンからパスワードレスに社内システムにアクセスできるようになり、働き方改革につながっている。
FIDOを利用するために必要な準備
FIDOを自社の仕組みとして導入したい場合、FIDO対応の認証器と認証サーバを用意できればFIDO認証はすぐにスタートできる。FIDOはオープン標準であり、無償で仕様を利用できることがポイントだ。従来の認証システムを自前で構築すると開発コストも運用管理コストも高くなるが、オープン標準を用いれば、基盤への投資は最小限で済む。認証系システム開発のスキルセットがあれば特段の問題はない。また、専用の生体認証デバイスやセキュリティキーも、かつてほど高価ではなくなり、FIDO普及に伴って量産効果が出始めると、ますます低コストになる可能性もある。
なお、会社が提供するサービスの全てを一斉にFIDO認証に切り替えるのが難しい場合は、SIerなどに相談し、従来の認証システムとの連携機能を作りこむ必要が出てくる場合もあるだろう。
自社でFIDO認証に対応したサーバを用意することが難しい場合は、社外のFIDO認証サーバと認証連携を行う選択肢もある。日立製作所、認証ソリューション部の石川 学氏は「FIDOは自社で実装する必要もなく、完全に外出しが可能な認証基盤」だとし、「銀行などに導入が始まった段階だが、パスワード運用がネックになるシーンは多く存在する。その解決策としてFIDOの導入サービスを提案していきたい」と語る。外部の認証サービスを利用するという選択肢も視野に入る。実際、FIDOアライアンス国内ワーキンググループに参加する多くのメンバー企業とそのグループ企業から導入サービスが提供されている（インターナショナルシステムリサーチ、NEC、NTTデータ、ソフト技研、大日本印刷、ディー・ディー・エス、日立製作所、飛天ジャパン、富士通など※）。
※企業名はあいうえお順
パスワードに依存せず、安全で利便性の高い認証を実現するFIDOだが、サービスに生かすためには今後も各企業の取り組みが欠かせない。例えば、コンシューマー向けのサービスであれば、個人ユーザーが認証器を登録する手続きを簡略化し、いかに離脱を防ぐかといった工夫が必要だ。今後も、より便利な認証シーンの実現に向けて、FIDOアライアンスの参画企業が中心となってノウハウを蓄積するとともに、認証器やサーバなどのツールを洗練させていくという。
Copyright © ITmedia, Inc. All Rights Reserved.
関連記事
パスワード不要の認証技術「FIDO」とは何か？
本人確認手段として長らく用いられてきた「ID/パスワード」に限界が訪れている。では、パスワードに替わる手段とは？ その有力候補として高い注目を集めているのが「FIDO」だ。
パスワードを捨てよ、次世代認証「FIDO」は普及するか？
IDとパスワードの組み合わせは、長らく認証の基本として使われてきた。だが、パスワード運用はセキュリティ的に限界だ。パスワード依存をやめる方法は？
絶対に理解できる「FIDO」の話 パスワードの弱点を克服する認証
パスワードを使った認証の仕組みは時代に追随できなくなっています。パスワードを契機として15億件の情報漏えいが発生した事例もありました。そこで、FIDO認証という手法に注目が集まっています。その仕組みとは。
みずほダイレクトは不正アクセスさせない！ 「FIDO」の導入メリット
パスワードに依存しないオンライン認証方法として注目を集めるFIDO。ユーザーのメリットもさることながら、既存の仕組みや端末を生かせるなどの特長から、企業にとってもコストや労力の面でメリットが大きいという。