情報セキュリティにおける動的パスワード認証とは？仕組みと特徴を徹底解説

動的パスワード（ワンタイムパスワード）とは

動的パスワード（Dynamic Password）は「ワンタイムパスワード（One Time Password：OTP）」とも呼ばれる認証方式です。従来の静的パスワード認証では、盗聴、リプレイ攻撃、パスワードの推測といった脅威に十分に対処できないという課題がありました。動的パスワードは、こうした問題を解決するために開発されました。

動的パスワードでは、認証プロセスの中で認証情報に不確定要素が組み込まれ、毎回異なる認証情報が生成されます。これにより、認証時の情報セキュリティが大幅に強化されます。この技術はリプレイ攻撃を効果的に防止できるだけでなく、送信中やデータベース内で静的パスワードが盗み出されるリスクという長年の課題にも対応します。

認証サーバーとのやり取りの流れ

認証サーバーまたはKDC（鍵配布センター）へ送信される情報は、主に以下の3つです。

• プリンシパルID（利用者を識別するID）
• プリンシパルのパスワード
• ユーザーデバイスの現在のシステムタイムスタンプ

このうち、パスワードとタイムスタンプは、送信前にハッシュ化されます。平文のままネットワーク上を流れないため、盗聴されても内容を読み取られることはありません。

サーバー側での検証プロセス

サーバー側では、ユーザーが本当に正当な本人であるかどうかを確認します。サーバーには、正規のプリンシパルIDとパスワードのペアを格納したデータベースが備わっています。

検証は次の手順で行われます。

1. リプレイ攻撃の検証： タイムスタンプを比較することで、過去に使われた認証情報の再利用ではないかを確認します。
2. パスワードの照合： 受信したハッシュ値と、サーバー側で生成したハッシュ値を比較し、正しいパスワードが提示されたかを確認します。
3. 秘密鍵の生成： 検証が完了すると、チケットを暗号化するための秘密鍵が生成されます。

スマートカードを活用した動的パスワードの仕組み

動的パスワード方式は、スマートカードの処理能力を活用し、認証のたびに複数のパスワードを生成することで、従来のパスワード方式を大きく強化しています。スマートカードは1日に数回、新しいパスコードを作成します。一方、ホスト側もスマートカードと同一のアルゴリズムを実装しているため、任意の時点でパストークンが持つ現在有効なパスワードを把握することができます。

シードと同期の重要性

カード発行者は、同期手順によってシステム内の各カードを起動し、初期化コード（シード）をパストークンとホストの両方にロードします。シードおよびパスワードを決定するアルゴリズムは厳重に秘匿されます。

各カードのシード値と初期化コードは一意であるため、2枚のカードが同じ時刻に同じパスワードを持つことはありません。アルゴリズム・シード・初期化値を知らない限り、特定の時点で有効なパスワードを予測することは事実上不可能です。

認証時の動作

認証の際、パストークンは現在のパスワードを表示し、それがホストへ送信されます。検証者は受信したパスワードと期待される値を比較し、識別子が一致すればホストはそのカードを受け入れます。

この方式が高い安全性を持つ理由は、以下の点にあります。

• 各パスワードの有効期間が非常に短い
• アルゴリズムがカードごとに異なる
• アルゴリズムが秘密として保持されている

これらにより、カードの真正性が確実に保証されます。

CADを使わない認証方式

このアプローチでは、CAD（カードアクセスデバイス）を使用せずに認証を実現できる点も特徴です。代わりに、ユーザーはコンピュータ端末にカード識別番号やパスワードといったデータを入力することで、リモートログインが可能になります。

ただし、この認証方法に用いられるスマートカードには、バッテリー、ディスプレイ、そして場合によってはキーパッドが必要となる点に留意が必要です。