ソフトウェアトークンとは？コンピュータ・ネットワークセキュリティにおける役割を徹底解説

ソフトウェアトークンは、現代の情報セキュリティにおいて欠かせない認証技術の一つです。本記事では、ソフトウェアトークンの基本概念から動作の仕組み、ハードウェアトークンとの違い、STS（セキュリティトークンサービス）やWebサービスでの活用方法まで、初心者にもわかりやすく解説します。

コンピュータセキュリティにおけるトークンとは？

トークンとは、システムへのアクセスに必要な認証情報を保持するデバイスやデータのことです。ユーザーとコンピュータが互いに認証情報を共有することで、本人確認とアクセス権限の検証が行われます。この認証データへアクセスするために、セキュリティトークンが必要となるのです。

ソフトウェアトークンの使い方

ソフトウェアトークンを利用する場合は、RSA SecurIDなどの専用アプリを起動し、PINコードを入力します。すると、トークンが60秒ごとにワンタイムパスコード（OTP）を自動生成します。VPNへのアクセスには、このパスコードの入力が必要です。なお、RSAソフトウェアトークンは、iOSおよびAndroid搭載のモバイルデバイスで利用できます。

セキュリティトークンサービス（STS）の役割

セキュリティトークンサービス（STS）は、Webサービスプロバイダのアプリケーション内にあるリソースへアクセスしようとするアプリケーションに対して、ユーザー認証を提供します。STSによるトークン発行を信頼するサービスプロバイダ（SP）は、そのトークンに基づいて、自らのリソースへのアクセスを許可または拒否することができます。

Webセキュリティにおけるトークンの仕組み

トークンによるユーザー認証とは、ユーザーの本人確認を行った結果として、固有のアクセストークンを発行する方式です。認証トークンは、押印済みの入場チケットのようなものであり、トークンが有効な期間中、ユーザーは継続してアクセスを維持できます。

コンピュータ用語としてのトークン

コンピュータ業界において、トークンとは何らかの操作を実行する権利を表すオブジェクトを指します。たとえば、セッショントークンは個々のやり取りを一意に識別する識別子です。また、セキュリティトークンや認証トークンとして、コンピュータ上でユーザーの本人確認を行うための物理デバイスを意味する場合もあります。

ソフトトークン認証の仕組み

RapidIdentity MobileやGoogle Authenticatorなどのアプリは、スマートフォンにダウンロードすると、実質的にOTP（ワンタイムパスワード）ジェネレータとして機能します。認証アプリは起動するたびに、ランダムな数値を生成する間隔を決定し、定期的に新しいコードを発行します。

コンピュータトークンの動作原理

トークンが使用されると、その内容は暗号化キーによって保護され、対応する暗号アルゴリズム（暗号化パスワードの構築方法）は、ネットワーク上で認証を担うサーバーだけが把握しています。トークンは、シリアル番号とシステムデータベース内のユーザーレコードを照合することで、各ユーザーに割り当てられます。

パスワードとトークンの関係

トークンは、パスワードの代わりに、あるいはパスワードと併せて使用されます。電子的な鍵として機能し、暗号鍵を保存してデジタル署名の作成に利用したり、指紋などの生体情報を記録したりすることも可能です。一部のシステムでは、パスワード自体をトークン内に保存している場合もあります。

リングネットワークにおけるトークン

リング型ネットワークでは、「トークン」と呼ばれる制御信号がノードからノードへと順次渡されていきます。データを送信したいノードにトークンが到達すると、そのノードはトークンをデータフレームに変換して送信します。これは「トークンパッシング方式」と呼ばれる、古くから使われているネットワーク制御手法です。

ハードウェアトークンとソフトウェアトークンの違い

ソフトウェアトークンは、スマートフォンなどのユーザーの電子デバイスにインストールして使用するタイプで、物理的な専用デバイスであるハードウェアトークンとは異なります。ただし、どちらもプラットフォームへアクセスするための一意のコードを生成するという点で、目的は共通しています。

「トークンを使用する」とはどういう意味か

トークンを利用すると、メールアドレスやクレジットカード番号といった機密情報を相手先に共有することなく、オンラインで商品を購入できる代替アカウント番号（トークン）を作成できます。これは「トークン化」と呼ばれる決済セキュリティ技術であり、情報漏洩のリスクを大幅に低減します。

AWS STS（Security Token Service）が必要な理由

AmazonのSTSが発行するセキュリティトークンは、クロスアカウントアクセスや、外部サイトがEC2インスタンス関連のリソースへアクセスする際の安全な手段となります。企業ネットワークでID検証されたユーザーをAWS STSに登録することで、AWSリソースへのアクセスを許可できます。

セキュリティトークンが必要な理由

アクセスIDとパスワードが第一の認証要素であるのに対し、セキュリティトークンは第二の認証要素として機能します。連絡先情報の更新や送金など、特に重要性の高い操作では二要素認証が求められます。セキュリティトークンでは、24時間以内に1回のみ使用可能で、頻繁に変化する6桁の一時コードがユーザーに割り当てられるため、不正アクセスへの耐性が高まります。

SAMLにおけるSTSとは

サードパーティのセキュアトークンサービス（STS）は、SAML、Kerberos、X.509証明書など、さまざまな形式に基づいて資格情報を検証し、セキュリティトークンを発行します。トークンに対する認証・認可の要求は、それぞれのSTSが定めるセキュリティ要件に従って処理されます。

セキュリティトークンの基本原理

トークン技術の中核は、デバイスが生成した乱数を、認証情報とともに暗号化してサーバーへ送信する仕組みです。サーバーは暗号化された応答を返し、その応答を復号できるのは当該デバイスだけです。この双方向の暗号化通信により、なりすましや盗聴を防ぎます。

セキュリティトークンの動作方法

認証トークンは、所有者が電子的に本人確認を行えるよう、何らかの個人情報を保存するデバイスです。セキュリティトークンサービス（STS）は、このセキュリティトークンを利用してユーザーの本人確認を実施します。所有者はセキュリティトークンをシステムに接続することで、ネットワークサービスへのアクセスが許可されます。

Webサービスにおけるトークン

WS-Security（Web Services Security）では、SOAPメッセージのセキュリティヘッダーにトークンを含めて送信することで、メッセージを保護できます。セキュリティトークンは、メッセージの一部または全体への署名、検証、暗号化、復号に使用できます。さらに、要求コンシューマ側で呼び出し元としてセキュリティトークンを設定し、トークンを別途送信する構成も可能です。

Web開発におけるトークン

Web開発の文脈でのトークンとは、特定のサーバー（サーバーX）によってのみ作成され得るデータ片であり、ユーザーが自身を識別するのに十分な情報を含んでいます。一般的な流れとしては、まずログイン情報を提示してサーバーXにトークンを要求し、以降はトークンを提示することで、サーバーXに対して自分限定の特定アクションの実行を依頼できるようになります。

まとめ

ソフトウェアトークンは、ワンタイムパスコードの生成からWebサービスの認証、決済のトークン化まで、多岐にわたる場面でセキュリティを支える重要な技術です。ハードウェアトークンと比較して導入コストが低く、スマートフォンだけで運用できる手軽さが魅力です。二要素認証の普及が進む現在、ソフトウェアトークンへの理解を深めることは、個人・企業双方の情報セキュリティ向上につながります。