WebAuthnとは?パスワードに代わる次世代ウェブ認証の仕組み

WebAuthnとは?パスワードに代わる次世代ウェブ認証

スマートフォンやノートパソコンで指紋認証を使ったことがある方は多いでしょう。従来、これらの生体認証は端末のロック解除などに使われるのが主でしたが、今ではSNSや各種ウェブサイトへのログイン時にも、パスワードの代わりとして活用できるようになっています。これを可能にするのが「WebAuthn」という認証方式です。

WebAuthnとは何か?

W3C(World Wide Web Consortium)とFIDOアライアンスは、パスワードに代わる新しいウェブ認証標準「WebAuthn」を発表しました。この規格により、ユーザーはパスワードを入力することなく、顔・指紋・虹彩などの生体情報を使ってログインできるようになります。

つまりWebAuthnとは、ウェブサイトへのログイン時にパスワード入力を不要にする、新しい認証方式なのです。

例えば、WebAuthnに対応したウェブサイトに新規登録する場合を考えてみましょう。サインアップの際に、自分のWebAuthnクレデンシャル(資格情報)をアカウントに登録するだけでOKです。登録できるのはPINコード、USBセキュリティキー、あるいは指紋などの生体スキャン情報です。

WebAuthnは現在まだ普及の初期段階にありますが、すでにいくつかの形で利用可能です。生体認証スキャナーを搭載したスマートフォンやデバイスでの認証に対応しているほか、USB接続の外部認証デバイスにも対応しています。

例えば、セキュアなログインソリューションで世界的に知られるYubico社は、すでにWebAuthnを採用しています。同社が提供するFIDO認証済みのU2Fセキュリティキーは、安全なサインインを実現するUSBドングルです。登録後、データはデバイス側に保存され、PINはキー本体に記録されます。

また、指紋センサー搭載のスマートフォンをお使いなら、WebAuthnを使って特定のウェブサイトにアクセス・ログインできます。この場合も、サインアップ時にサイトへクレデンシャルとデバイスを登録しておくだけで、以後はモバイル端末でWebAuthn認証を利用できます。

さらに、WebAuthnは既存のパスワードと組み合わせた二要素認証(2FA)にも活用できます。パスワードを置き換えることで、より安全で安心な環境を実現でき、今後普及が進めば、ログイン手段の主流になっていく可能性を秘めています。

WebAuthnはどのようにパスワードを置き換えるのか?

WebAuthnの最大の狙いは、フィッシング詐欺への対策です。フィッシングとは、偽サイトや詐欺メールによってユーザーの個人情報や認証情報を盗み取る手口のこと。しかし生体認証を導入すれば、ハッカーや第三者が情報を盗むことは格段に難しくなります。

この方式では、ウェブサイト側はサインアップ時に入力されたユーザーデータそのものを見ることができません。代わりに、「特定のユーザーが正しくサインインした」という確認結果だけを受け取ります。その結果、消費者のプライバシーとセキュリティは大幅に向上し、ハッカーが生体情報を盗むことも困難になります。さらに開発者向けにもAPIが公開されており、自社サイトにWebAuthn認証を組み込むことができます。

現在、Mozilla FirefoxとGoogle Chromeの両方がWebAuthnへの対応を進めており、まもなくユーザーに提供される予定です。多くのウェブサイトも同様に対応を進めており、ユーザーデータの漏えい防止に力を入れています。

この認証方式は、パスワードシステムを置き換える可能性を十分に秘めています。ただし、サイバー攻撃者がひしめくこの世界で、100%安全な仕組みは存在しないのも事実です。

増え続けるサイバー攻撃や情報漏えい事件を考えると、WebAuthnは企業や組織のセキュリティ・プライバシー対策における大きな転換点になるかもしれません。

あなたはどう思いますか?ぜひコメント欄でご意見やフィードバックをお聞かせください。