パスワード認証はなぜ時代遅れなのか?知っておきたい代替セキュリティ技術5選

パスワードには皮肉なジレンマがあります。複雑にすればするほど忘れやすくなり、覚えやすいものほど他人に推測されやすくなるのです。この矛盾はあまりにも明白で、ミッドナイト・シャイアマラン監督でも映画化をためらうほどの「どんでん返し」だと言えるかもしれません。

もちろん、映画のアイデアを提案したいわけではありません。しかし、パスワードによる保護がオンライン上の個人情報やアカウントを犯罪から守る手段として、何度もその限界を露呈してきたのは事実です。ここ数年、世界中のウェブを悩ませてきた大規模なデータ漏洩事件がその何よりの証拠です。データ漏洩やサイバー攻撃自体は新しい概念ではありませんが、私たちのオンラインデータは依然として脆弱なパスワードに守られているのが現状です。マイクロソフトのビル・ゲイツ氏は早くも、パスワードベースのアクセスはいずれ滅び、別の技術に取って代わられると予言していました。

パスワード保護だけでは不十分な3つの理由

• パスワード保護はすでに陳腐化している — 技術がどれほど進歩しても、忘れやすいうえにサイバー犯罪者に突破されやすい原始的な手法を使わざるを得ない状況は変わっていません。
• パスワード強度チェッカーは見せかけ — 主要サイトの強度チェック機能は、文字種の多様さだけで強度を判断するものが多く、実質的には飾りにすぎません。複雑な文字を使っても、必ずしも強固なパスワードになるとは限りません。
• パスワードはサーバーに保存される — 入力されたパスワードはウェブサイトのデータベースに保管されるため、ハッカーの格好の標的になります。Twitter、Facebook、Yahoo!などの大手プラットフォームが被害を受けた事例は枚挙にいとまがありません。

つまり、意味不明な文字列で機密情報を守るだけでは、セキュリティとして不十分だということは明らかです。この方式は役目を終え、そろそろ「過去の遺物」として引退させるべき時期に来ています。そこで本記事では、現在利用可能、または将来有望なパスワードの代替認証技術を5つご紹介します。

1. 生体認証(バイオメトリクス)

指紋でロックされたスマートフォンやデバイスは、本人以外アクセスできません。すでに多くの企業や組織が、社員証カードの代わりに生体認証を採用しています。iPhoneやiPad、指紋認証対応ノートPCなどにも搭載されており、身近な存在になりつつあります。誤った指紋でデバイスに触れても映画『Judge Dredd』ほどの悲劇にはなりませんが、「MickeyMinniePlutoHueyLouieDeweyDonaldGoofySacramento」のような長い文字列を誰も推測できないだろうと考えるより、はるかに確実なセキュリティ対策です。ちなみにそんなパスワード、2回目には自分でも思い出せない可能性が高いのですが。

2. 心拍数認証

少しロマンチックな響きがありますが、心拍数は個人を識別する認証手段として注目されています。まだ開発段階の技術ではあるものの、研究者たちはすでに、心拍数が人それぞれ固有のものであり、認証に活用できることを実証しています。生体認証ほどの精度はないかもしれませんが、デバイスにアクセスするたびに認証操作を行う必要がなくなるという大きなメリットがあります。

3. ワンタイムパスワード(OTP)

デビットカードでネットショッピングをしたことがあれば、すでにお馴染みでしょう。「二段階認証」とも呼ばれるこの仕組みは、厳密にはパスワードの代替ではなく、セキュリティの抜け穴を塞ぐ補強モジュールです。サービスにアクセスしようとすると、SMSで特別な使い捨てパスワードが送信され、それを入力してログインします。このパスワードは一度しか使えず、次回ログイン時には新しいコードが発行されます。

4. シングルサインオン(SSO)

ひとつのパスワードだけで複数のサービスやアカウントにアクセスできるのは、非常に便利です。既存技術の改良版ではありますが、複数のパスワードを作成・記憶するよりはるかに優れています。シングルサインオンは、各種サービスごとにアカウントやユーザーIDを作成する手間も減らしてくれます。Facebook、Google、Twitterのアカウントで各種サイトにログインできる仕組みが、その代表例です。

5. 音声認識

映画の中では、声による認証が数多く描かれてきました。音声コマンドで動作するスマートスピーカーの登場により、声が個人を識別できることは現実のものとなっています。ただし、人の声は人生のさまざまな場面で変化するため、前述の方法ほど信頼性は高くありません。とはいえ顔認証が実用化されている以上、音声認識も十分に有力な選択肢と言えます。

ほかにも実験段階の技術はいくつかありますが、上記の5つがパスワードに代わる主流の認証方法になる可能性が最も高いでしょう。世界全体がこの重大な脆弱性に気づき、パスワードを完全に置き換える日はそう遠くないはずです。