パスワードレス認証は、典型的な請求（ユーザー名）とパスワードを使用せずに、誰かの身元を確認するプロセスです。従来の認証情報をログインプロンプトに注入するツールはパスワードレスではありません。最も一般的なパスワードレス認証方式は、指紋認証や顔認証などの生体認証と、スマートフォンで一般的なアウトオブバンド・アプリです。このようなスマートフォンアプリでは、多くの場合、複数の要素を1つの認証プロセスに組み合わせたバイオメトリクスID認証が必要です。

パスワードレス認証

パスワードレス認証とは？

パスワードレス認証とは、典型的な請求（ユーザー名）とパスワードを使用せずに、誰かの身元を確認するプロセスである。従来のクレデンシャルをログインプロンプトに注入するツールは、パスワードレスではない。

最も一般的なパスワードレス認証方法は、指紋認証や顔認証などの生体認証と、スマートフォンで一般的なアウトオブバンド・アプリである。これらのスマートフォンアプリでは、複数の要素を1つの認証プロセスに組み合わせたバイオメトリクスID認証が必要となることが多い。

OpenText IAMがビジネスを強化

OpenText™ Identity and Access Management (NetIQ) は、包括的なアイデンティティとアクセスサービスのセットを提供し、従業員がどこからでも、どのデバイスでも、どの場所でも、適切なタイミングで安全にリソースにアクセスできるようにします。また、OpenText Cybersecurityは、企業が消費者と効果的かつ安全にやり取りできるよう支援します。

なぜパスワードレス認証が人気なのか？

パスワードレス認証が従来のクレデンシャルに取って代わるという約束は30年以上前からあったが、今日利用可能なテクノロジーがそれを現実のものにした。2022年のパスワードレス市場は156億ドルだったが、2030年には530億ドル以上に成長すると予想されている。今日のパスワードレス化の大部分は、スマートフォンによって実現されている。OpenTextが委託した「The State of Passwordless」Dark Readingレポートによると、回答者の64% が、完全なパスワードレス認証モデルへの移行が重要だと感じている。

この10年間、政府の法令遵守が、企業がパスワードレス・テクノロジーを採用する原動力となってきた：

政府-政府および公共機関は、現在、特定の多要素認証要件に従う。これらの要件は、最初は推奨事項として始まったが、何年もかけて政策に変わっていった。この方針は一般的なガイドラインとして展開されたが、時間の経過とともに、機密文書へのアクセスに対する具体的な二要素認証の義務付けへと発展していった。
ヘルスケア-米国および世界におけるヘルスケア侵害は、この市場の組織に、金融を含む他のどの市場よりも大きな財務的苦痛を与えている。政府機関は、特定のパスワードレスおよび二要素認証要件で対応している。
金融サービス -政府の規制により顧客の個人的な財務情報や個人情報の保護が義務付けられている一方で、消費者の信頼を維持することがデータ・セキュリティの必要性を高めている。金融サービスは多要素認証を率先して採用してきたが、スマートフォン・プラットフォームは本人確認のためのパスワード・レス化をさらに推し進めた。

労働者の身元確認

歴史的に、ワークフォース・セキュリティにおけるパスワードレス・テクノロジーの使用は、特殊なアプリケーションやユーザーに限定されてきた。この10年間で、この4つの最も大きな障壁が取り除かれた：

ハード・トークン、企業グレードの指紋リーダー、その他のバイオメトリック・デバイスは、もはや企業全体で使用するには高価すぎるということはない。
登録とデバイスのセットアップにかかるコストは、かつては大量導入の妨げとなっていたが、今では手頃な価格になっている。
かつては不可能だった認証デバイスの継続的なリモート管理は、今や日常的なものとなり、リモート・リセットや再設定が当たり前になりつつある。
セキュリティ・チーム、その管理者、そして特にユーザは、以前はパスワード・レス・テクノロジーに信頼を置いていなかったが、最近のユース・ケースの急増により、認証の近代化とプランニングの波が押し寄せている。

デバイスの進化だけでなく、認証のユースケースやその周辺の要件も、政府の義務付けを超えて変化している。

リモートワーク

現場作業員がモバイル・プラットフォームを使って個人情報にアクセスする機会は、これまで以上に増えている。ロード・ウォリアーの枠をはるかに超えて、在宅勤務の採用は過去3年間に大きく伸びた。パンデミック以前から、場所を選ばない働き方は着実に広がっていたが、その後、新しいリモートワークの方針があらゆる業界で広く採用されるようになった。

Cloud

構造化および非構造化プライベートデータの保存とアクセスは、データセンターではなくクラウドから行われることが多くなっている。企業サービスをホスティングし、リモートトラフィックをルーティングするデータセンターの利用が劇的に減少するにつれ、ファイアウォールのセキュリティ技術はますます無意味になってきている。

個人デバイスの使用

セキュリティ管理をさらに侵食しているのが、BYOD（Bring-your-own-device）の採用拡大である。BYODによるクラウド・ホスト・リソースへのリモート・アクセスは、管理対象デバイスからIDベースのセキュリティへと、初歩的な依存をシフトさせる。このような信頼は、フィッシングや本人確認を回避するその他の ID 攻撃にさらされる機会を増やすことになる。

マネージド・ネットワーク、社内のデジタル・リソース（サービスや非構造化データ）、社内デバイスからの移行は、セキュリティ・チームが戦略の一環としてこれらに依存できなくなることを意味する。その代わり、セキュリティをアイデンティティに基づかせるためには、偽者に対して高い耐性を持つ検証戦略が必要となる。また、多要素認証の採用は今後も増え続けるだろうが、単要素パスワードレスは、認証プロセスを簡素化しながら、ユーザー名とパスワードよりもセキュリティの水準を高める。従業員は、顔認証、指紋認証、またはその他の受動的な経験によるスピードと利便性を享受する。一方、組織は、最も顕著な脆弱性であり、侵害の原因であるフィッシングに対する保護を強化することができる。

消費者のパスワードレス化

パスワードレスの中核となるのはスマートフォンだ。小さなパッケージの中に大量の演算能力を詰め込んだこのデバイスは、私たちの多くにとって必要不可欠なものとなり、パスワードなしのゲームチェンジャーとなった。メールからソーシャルメディア、オンラインショッピングやバンキングまで、私たちはあらゆることに使っている。瞬間的に写真を撮ったり、道を探したり、答えを探したりする。

このようなハンドヘルド・コンピューティング・デバイスへの依存は、これまでにない認証のパラダイム・シフトをもたらした：

ユニバーサル・コネクティビティは、認証の際、帯域外での本人確認を可能にする。
ポータブルな処理能力は、ワンタイムピンの役割を果たすシードとキーを生成することができる。
スマートフォンの進歩に伴い、バイオメトリクス認証やパッシブ認証の方法が進歩し、認証が進化・高度化する。

消費者は、従来の認証がもたらす脅威をより強く認識するようになっている。組織はこの変化を認識し、デジタル・サービスを強化する機会を見出している。

パスワードレス認証の安全性は？

ベライゾンのデータ侵害チームは、犯罪者が使用するクレデンシャル・ポーチングの主要な手法としてスピアフィッシングを挙げている。スピアフィッシングは、攻撃者が銀行や同僚など、信頼できる情報源からと思われる電子メールを送信し、被害者を模擬ウェブサイトに誘導することで開始される。このウェブサイトは認証を要求し、被害者を騙して認証情報を開示させたり、クレジットカード番号を入力させたり、その他の個人情報を提供させたりする。

この攻撃のバリエーションは、クリックすると被害者のコンピューターにマルウェアをインストールするリンクを提供する。

パスワードレス・テクノロジーは、この種の攻撃からの保護に適している。パスワードを排除するように設定されたプラットフォームでは、入力やキーストロークのキャプチャによって、パスワードをキャプチャすることはできない。パスワードレスに加えて、パスワードをオプションとして提供するプラットフォームでは、スマートフォンのような持っているもの、あるいは生体認証のようなものなど、パスワードレスの多要素認証で強化することができる。

スマートフォンへの依存は、その脆弱性をセキュリティ議論の最前線に押し上げる。放置されたモバイル・デバイスは、PIN、OTP、帯域外プッシュ承認を傍受し、バイオメトリクスを自分に合うように再構成することができるハッカーやその他の悪意のある行為者の手に落ちる可能性がある。SIMカードの盗難は、SMS/OTPのリスクももたらす。たとえユーザーが注意していても、攻撃者がサービス・プロバイダーを操り、正規のSIMカードから重要な情報を取り消して転送させることで、セキュリティが破られる可能性がある。

どの組織もすべての脅威を阻止することはできないが、パスワードレス・パラダイムに移行するだけで、最も一般的な脅威から身を守ることができるのは事実である。一要素認証であっても、タイプインされた認証情報からの脱却はセキュリティを高める。例えば、リスク・ベース認証（RBA）によってセキュリティ・レベルを上げることで、さらに多くのことができる。RBA には、ユーザーの身元を確認するために追加的なステップが必要な場合を判断する長年の実績がある。組織は、次のような事前定義された条件下で、二要素認証を呼び出すことができる：

その装置は以前に見たことがありますか？
- デバイス・フィンガープリンティング
- ブラウザクッキー
ユーザーは想定された場所にいるか？
- IPジオロケーションサービス
- ジオフェンシング（GSM）
ユーザーは期待通りに行動しているか？
- ユーザーとエンティティの行動分析（UEBA）
情報のリスクレベルは？

このような基準は、組織がどの程度のレベルの ID 検証が必要かを判断するのに役立つ。例えば、情報へのアクセスに指紋を要求する。それでも、リスクが高まれば、多要素認証を必要とする、より敏感なサブセットが存在する。

パスワードレス購入ガイド

デジタル ID におけるリスクと摩擦を軽減するための実践的ガイド。

バイヤーズガイドを読む

実施方法

パスワードレス認証の実装方法

パスワードレス・ログインを実装するには、パスワードの使用をやめるだけでは不十分で、ユーザー・フローを注意深く設計し、強力な認証手段を選択し、フォールバック・パスを計画する必要がある。以下にロードマップを示す（詳細はOpenText's Passwordless Buyer's Guideを参照）：

1.保証階層とユースケース・マッピングを定義する。まず、リソースをリスクレベル別に分類することから始める。基本的な口座情報対財務業務）。NIST の認証保証レベル（Authentication Assurance Levels：AAL）のような標準を使用して、各シナリオでどの程度強固な認証が必要かを決定する。次に、各ユーザージャーニー（ログイン、トランザクション、管理者アクション）を適切な保証階層にマッピングする。

2.適切な認証方法を選択する。リスク、ユーザビリティ、コストの目標に合致するパスワードレス方式を1つ以上選択する。理想的には、相互運用可能な標準（例えばFIDO2）は、ベンダーにとらわれず、クロスプラットフォームであり続けることができる。オプションは以下の通り：

ハードウェアセキュリティキー/FIDO2/WebAuthn
帯域外プッシュまたはTOTP付きモバイルアプリ
生体認証（指紋、顔、声）
コンテキスト/パッシブ要因（デバイスの姿勢、ジオロケーション、Bluetooth）

3.安全な登録フローを設計する。ユーザーと認証者の間のバインディングは非常に重要である。身元を検証し（たとえば、既存のクレデンシャル、身元証明、対面チェックなど）、次に認証子を暗号的に登録する。アカウントごとに複数の認証者をサポートし（ユーザーがバックアップを取れるように）、認証方法を無効にしたり変更したりできるようにする。

4.認証フローを実装する。各インタラクション（ログイン、トランザクション、セッション更新）：

ユーザが登録した認証子にチャレンジする。
暗号化されたセキュアな交換（WebAuthn、CTAPなど）を使用する。
必要な強度を適応させるために、不正／リスクシグナル（デバイスの指紋、位置情報、行動）を含める。
必要なときだけ、フェイルオープンやエスカレーションを行う（低リスクのアクセスをブロックしない）。

5.フォールバック/リカバリーパスを提供する。どんなシステムも完璧ではない。利用者は携帯電話や鍵を紛失する可能性がある。安全で保証の高いリカバリーオプションを提供する（例．セキュリティを弱めることなくアクセスを回復するために、ID 検証、代替認証子、またはチャレンジ・レスポンス・フォールバック）をサポートする。

6.監視、反復、段階的なロールアウト。限定されたパイロット・グループ、あるいはクリティカルでないパスから始める。ユーザーからのフィードバック、離脱率、サポートチケット、セキュリティイベントを監視します。そのデータを使って、フローを改良し、リスクのしきい値を調整し、適用範囲を拡大する。異常を検出するために、ロギングとフォレンジック・トレースが実施されていることを確認する。

よくある質問

パスワードレス認証」とはどういう意味か？

パスワードレス認証とは、ユーザーがパスワードを覚えたり入力したりすることなくログインできることを意味する。その代わりに、認証は、身元を証明するためにデバイス（またはバイオメトリクス／PIN）に結び付けられた暗号化クレデンシャルに依存する。

パスワードレス認証は多要素認証（MFA）とどう違うのか？

MFAは通常、パスワードの上にさらにチェックを重ねる。パスワードレス認証は、パスワードを完全に回避し、より強力な要素（デバイス、バイオメトリクス、または所持）のみに依存し、オプションで追加要素を混ぜる。

パスワードレス・ログインを可能にする技術や方法は？

一般的なパスワードレス・アプローチには次のようなものがある：

ハードウェアセキュリティキー/FIDO2/WebAuthn
バイオメトリックチェック（指紋、顔）またはデバイスPIN
モバイル・プッシュ通知またはアプリ
マジックリンクまたはワンタイムコード（安全に設計されている場合）

パスワードレスはパスワードより安全か？

多くの場合、パスワードレスはパスワードよりも安全である。盗むべきパスワードがないため、クレデンシャルの再利用、ブルートフォース、多くのフィッシング攻撃に強い。

ユーザーがデバイスを紛失した場合はどうなりますか？

代替認証子、本人確認ステップ、事前登録されたリカバリ方法など、フォールバックまたはリカバリ・オプションを構築し、ユーザーがセキュリティを弱めることなくアクセスを回復できるようにする必要があります。

パスワードレスの導入は難しいのか、それとも高価なのか？

パスワードレス化には初期コスト（インフラ、ユーザーオンボーディング、デバイスのプロビジョニング）がかかる場合があるが、パスワードのリセット、ヘルプデスクの負荷、セキュリティリスクの削減によって相殺されることが多い。

ユーザーはパスワードレスを使いやすいと感じるだろうか？

一般的にはそうだ。多くのユーザーは、バイオメトリクスやプッシュ・ベースの方法を、パスワードよりも簡単で迅速だと感じている。しかし、摩擦を減らすためには、ユーザー教育とスムーズなフローが不可欠である。

Resources

What is Identity and Access Management?

What is Identity Governance and Administration?

OpenText Advanced Authentication overview

Passwordless Buyer’s Guide

Are you a passwordless laggard?