2段階認証がようやく使いやすいものになった

2015年9月22日 7時0分

スマートフォン/スマートウォッチをワンタイムパスワード（OTP）トークンとして利用する。

ゲスト執筆者のマキシム・オリニクはOAuthに認証された二段階認証ソリューションの企業、Protectimusの共同設立者である。

「大事なデータは安全に保管されなければならない。それがネット上に置かれているのならなおさらだ」というのは誰でも耳にしたことがあるだろう。

だが普通のID/パスワード認証は数あるハッキング方法によって簡単に調査や推測されてしまうため、アテに出来ない。幸いより良いデータ保護の方法はあり、その一つが二段階認証だ。これは長期にわたり数多くのユーザーによってその効果が実証されている。

今日ではSNSからネットゲーム、メール、そして銀行や支払いサービスなどユーザーの貴重なデータが保存される仕組みのほとんどで2段階認証は選択できるようになっている。モバイルデバイスを使ってこれらのアカウントにアクセスする機会はますます増えているため、悪質な攻撃に対する更なる防御策が求められている。残念ながらユーザーはこれらの防御策を面倒なものと考えて使わない傾向にあり、脆弱な状態に晒されている。

だがこれから登場する新しい二段階認証のアプローチにより、余分な手間なくより安全性を高める事ができるようになるかもしれない。そのアイデアとは、安全性を確保する対象であるモバイルデバイス自身をセキュリティートークンとして利用するというものだ。

二段階認証の問題

二段階認証の実装方法はいくつかあるが、それぞれに利点や欠点が存在する。

ワンタイムパスワード（OTP）を送る手段で一番良くあるのがショートメッセージ経由によるものだ。とても便利なのだが問題点もある。

ショートメッセージは受け取るのにお金がかかる。
認証プロセスに第三者が介在する事がある（SMSゲートウェイ）
ときおりショートメッセージを受け取るのに数分かかることもある。　顧客にとって不便をかけるばかりか、その間に攻撃者がメッセージを　傍受する可能性もありえる。

他にもキーやフラッシュメモリー、銀行のカードなどの形でハードウェアトークンを使ったり、OTPをメール経由で受け取るなどの方法もある。ハードウェアトークンは比較的信頼性が高いが常にそれを持ち歩くのは不便かもしれない。また紛失や置忘れの恐れもあり、常に気をつけておくことが求められる。メール経由のOTP受け渡しにいたっては、基本的にショートメッセージを使っているのとほとんど変わらない。

これらの手段の不便な点により、ユーザーは二段階認証を面倒なものだと考え、アカウントの保護についてどうでも良くなってしまう。しかしiPhoneやAndroidなどのスマートフォン、スマートウォッチの登場で、より便利なOTPの方法が可能になる。

私の会社はCWYS（Confirm What You See, 見えてるものを確認する）と言われるトランザクションセキュリティにおけるデータ署名技術に取り組んでいる。他の様々な機能と共にモバイルアプリとして実装されており、携帯やスマートウォッチを自動転送やデータ改ざんといったサイバーでの脅威から守るのに役立つものだ。

CWYSとはどのような仕組みか?

つい最近まで、攻撃者たちはある種のマルウェアを使って二段階認証を迂回することが出来た。

よく使われる手順は次のようなものだ。まず攻撃を仕込んでからユーザーが正規の通信を行うのを待つ。その時がくれば「データのベリファイが終わるまでお待ちください」といったようなメッセージが書かれたポップアップウインドウを表示する。

その間、仕込まれたマルウェアはユーザーに隠れて仕事を行い、結果意図していない口座にお金が振り込まれるような事になる。OTPや暗証番号が必要な場合、マルウェアはパスワードの入力を求めるもっともらしい文言が記載された偽のページを表示する。疑問を抱かないユーザーは正しい情報を入力し、自動転送システムはそれらを使って送金を完了するというものだ。

しかしCWYS機能を有効化することにより、OTPの生成に秘密鍵だけでなく時間やチャレンジコード、更には送金額や通貨の種類、受取人などの処理の詳細も使われるようになる。この事からもしハッカーがパスワードを入手したとしても、それは用を成さないというわけだ。