パスワードレス認証への移行でセキュリティメカニズムを刷新する

アカウントの不正アクセス被害は日常的に発生しており、多くの一般ユーザーを不安に陥れています。さらに、パスワードの記憶や再設定に悩まされるユーザーも後を絶ちません。ここでは、「パスワードレス」への移行を検討するうえで役立つ事実を紹介します。

ある調査によると、一人の人が平均27種類のログイン情報を保有しているといいます。つまり、27組ものIDとパスワードの組み合わせを管理していることになります。複数のサイトで同じパスワードを使い回すことも可能ですが、各サイトでパスワード作成の基準が異なるため、少なくとも5〜6種類のパスワードを使い分けなければなりません。しかも、すべてのサイトで同じパスワードを使用するのは、自宅に悪魔を招き入れるようなものです。

統計によれば、4人中3人が人生で少なくとも一度はパスワードを忘れた経験があり、3人に1人は安全性の低い単純なパスワードを使い続けています。覚え、管理し、安全に保つという負担から、パスワードは今や頭痛の種となっています。

こうした課題に対し、開発者たちは「パスワードレス・トークンベース認証」という新しい仕組みを導入しました。この技術は多くの企業から注目されており、SMSやメールアカウントを利用して動作します。

パスワードレスログインとは?

ソーシャルログインと同じ仕組みなのでしょうか?詳しく見ていきましょう。

パスワードレスログインの本質は、「パスワード再設定」の仕組みに似ています。ユーザーがメールアドレスを入力すると、アカウントにアクセスするためのリンクが送られてくるというものです。より具体的には、ユーザーがサイトにアクセスし、求められたメールアドレスまたは電話番号を入力するだけでサービスを利用できます。

仕組みはどうなっている?

• サーバーが認証コードの形式でCookieのようなトークンを生成し、ユーザーがアクセスするためのリンク(「マジックリンク」とも呼ばれます)に埋め込みます。このリンクは指定されたメールアドレスに送信されます。
• リンクには有効期限があり、一定時間(例：10分)を過ぎると無効になります。ユーザーは期限内にリンクをクリックして認証・承認を行う必要があります。これにより、そのサイトのデジタル資産へのアクセスが許可されます。
• 再認証が必要になるのは、自発的にログアウトした場合、別のブラウザを使用した場合、セッションを長時間アイドル状態にした場合、別のデバイスからアクセスした場合などです。

パスワードレス認証のメリット

• 生体認証のような高度なハードウェアは不要で、SMSシステムまたはメールアドレスだけで十分です。コストを削減できる点も導入の大きな魅力です。
• パスワードの作成、書き留め、再設定、安全管理といった面倒な作業から完全に解放されます。
• 従来のメール認証プロセスが不要になり、シームレスなユーザー認証を実現します。
• パスワードが、ハッカーがデバイスへ侵入するための入り口ではなくなります。
• パスワード関連の処理が不要になるため、開発者が実装すべきコードも減少します。
• そして何よりも、強固なセキュリティが実現します。

ただし、パスワードレスログインにもいくつかのデメリットがあります。

• 新しい技術には必ず批判がつきものです。パスワードレスログインも例外ではなく、人々が慣れるまでには時間がかかります。企業は顧客対応において一段の慎重さが求められ、技術への適応期間と捉えて丁寧にサポートすることが重要です。
• 優れた機能が最大の弱点になることもあります。パスワードレスログインでは、24時間365日ログインし続ける利便性が失われ、ブラウザを閉じるたびに再ログインが必要になります。
• 銀行やウェブメールなど、この技術を受け入れない分野もあり、適用範囲は限られます。大手オンラインストアも、頻繁なログアウトはユーザーエクスペリエンスを損なうとして導入に慎重です。
• メールアカウント自体が不正アクセスされる可能性があり、メールアカウントにアクセスできる第三者が深刻な被害をもたらしかねません。

パスワードレスログインが特に効果を発揮する分野は以下の通りです。

アナリティクス、レポーティングシステム、フォーラム、モニタリング

自社にパスワードレス化が必要かどうか、一度自問してみてください。すべての人に適しているわけではありませんが、セキュリティメカニズムを刷新し、ユーザーをパスワードの悩みから解放できる可能性を秘めています。