パスワードレス認証

パスワードレス認証は、ユーザーがパスワードやその他の知識ベースの秘密を入力せずに（また記憶する必要もなく）コンピュータ システムにログインできる認証方法です。最も一般的な実装では、ユーザーは公開識別子（ユーザー名、電話番号、電子メール アドレスなど）を入力するように求められ、その後、登録されたデバイスまたはトークンを通じて安全な ID 証明を提供することで認証プロセスを完了します。

パスワードレス認証方法は、通常、公開鍵暗号化インフラストラクチャに依存しており、公開鍵は認証サービス (リモート サーバー、アプリケーション、または Web サイト) への登録時に提供され、秘密鍵はユーザーのデバイス ( PC、スマートフォン、または外部セキュリティ トークン) に保存され、生体認証署名または知識ベースではない別の認証要素を提供することによってのみアクセスできます。

これらの要因は、一般的に次の 2 つのカテゴリに分類されます。

• 携帯電話、OTP トークン、スマート カード、ハードウェア トークンなどの所有権要素 (「ユーザーが所有するもの」) 。
• 指紋、網膜スキャン、顔や音声の認識、その他の生体認証識別子などの固有要素（「ユーザーそのもの」）。

一部の設計では、記憶されたパスワードが関係しない限り、 地理的位置、ネットワーク アドレス、行動パターン、ジェスチャなどの他の要素の組み合わせも受け入れられる場合があります。

パスワードレス認証は、どちらもさまざまな認証要素を使用するため、多要素認証(MFA)と混同されることがあります。ただし、MFA はパスワードベースの認証の上に追加のセキュリティ レイヤーとして使用されることが多いのに対し、パスワードレス認証では記憶された秘密は必要なく、通常は ID を認証するために 1 つの非常に安全な要素 (外部セキュリティ トークンなど) のみを使用するため、ユーザーにとって認証が高速かつ簡単になります。

「パスワードレス MFA」は、両方のアプローチが採用されている場合に使用される用語であり、認証フローはパスワードレスで複数の要素を使用し、正しく実装された場合に最高のセキュリティ レベルを提供します。

パスワードは時代遅れになるべきだという考えは、少なくとも2004年以来、コンピュータサイエンスの世界で広まっています。ビル・ゲイツは、2004年のRSAカンファレンスで、「パスワードは、本当に保護したいものには対応できない」と述べ、パスワードの終焉を予測しました。^{[1] [2]} 2011年にIBMは、5年以内に「二度とパスワードは必要なくなる」と予測しました。^{[3]ハッキング事件の被害者である}Wiredのジャーナリスト、マット・ホナンは、2012年に「パスワードの時代は終わった」と書いています。^[4] Googleの情報セキュリティマネージャー、ヘザー・アドキンスは、2013年に「パスワードはGoogleで使用されています」と述べました。^[5] Googleのセキュリティエンジニアリング担当副社長、エリック・グロスは、「パスワードとCookieなどの単純なベアラートークンは、ユーザーを安全に保つのにもはや十分ではありません」と述べています。^[6] ウォールストリートジャーナル紙に寄稿したクリストファー・ミムズ氏は、パスワードは「ついに死につつある」と述べ、デバイスベースの認証に置き換えられると予測したが、Twitterのパスワードを故意に公開したことで携帯電話番号の変更を余儀なくされた。^[7]ガートナー のアビバ・リタン氏は2014年に「パスワードは数年前に死んだ。今や死んだ以上のものだ」と述べた。^[8]理由として挙げられるのは、パスワードの使いやすさとセキュリティの問題であることが多い。

Bonneau らは、使いやすさ、展開可能性、セキュリティの観点から、Web パスワードを 35 種類の競合認証方式と体系的に比較しました。^{[9] [10]} (この技術レポートは、同名の査読済み論文の拡張版です。) 分析によると、ほとんどの方式はセキュリティの点でパスワードよりも優れていますが、使いやすさに関しては優れている方式と劣っている方式があり、展開可能性についてはすべての方式がパスワードよりも劣っています。著者らは、次のような所見で結論付けています。「限界利益は、大きな移行コストを克服するために必要な活性化エネルギーに達するのに十分ではないことがよくあります。これが、パスワードの葬列が墓地に到着するのを見るまでに、私たちがかなり長生きする可能性が高い理由を最もよく説明しているのかもしれません。」

最近の技術の進歩（生体認証デバイスやスマートフォンの普及など）とビジネス文化の変化（生体認証の受け入れや労働力の分散化など）により、パスワードレス認証の採用が継続的に促進されています。大手テクノロジー企業（Microsoft、^[11] Google ^[12]）と業界全体の取り組みでは、パスワードレス認証をより広く普及させるためのより優れたアーキテクチャとプラクティスを開発していますが、その多くは慎重なアプローチをとっており、一部のユースケースではパスワードを裏に保管しています。FIDO2やWebAuthnなどのオープンスタンダードの開発により、 Windows Helloなどのパスワードレス技術の採用がさらに促進されています。2020年6月24日、Apple Safariは、パスワードレスログイン用のWebAuthnプラットフォーム認証子としてFace IDまたはTouch IDが利用可能になると発表しました。^[13]

ユーザーは、本人確認を行う前に、まずシステムに登録する必要があります。パスワードレス登録フローには、以下の手順が含まれます。^[14]

• 登録リクエスト: ユーザーが Web サイトに登録しようとすると、サーバーはユーザーのデバイスに登録リクエストを送信します。
• 認証要素の選択：ユーザーのデバイスが登録要求を受信すると、ユーザーを認証するための方法を設定します。たとえば、デバイスはユーザー識別のために指紋スキャナや顔認識などの生体認証を使用する場合があります。^[15]
• 鍵生成：ユーザーのデバイスは公開鍵と秘密鍵のペアを生成し、将来の検証のために公開鍵をサーバーに送信します。^[16]

登録が完了すると、ユーザーは次のプロセスでシステムにログインできるようになります。

• 認証チャレンジ：ユーザーがサイトにログインしようとすると、サーバーはユーザーのデバイスに認証チャレンジを送信します。^[16]
• ユーザー認証：ユーザーは生体認証スキャナーを使用してデバイスに自分の身元を証明し、秘密鍵のロックを解除します。^[17]
• チャレンジレスポンス：ユーザーのデバイスは、ユーザーの秘密鍵を使用して認証チャレンジへのレスポンスにデジタル署名します。 ^[18]
• レスポンス検証：サーバーはユーザーの公開鍵を使用してデジタル署名を検証し、ユーザーのアカウントへのアクセスを提供します。^[18]

支持者は、他の認証方法に比べていくつかの独自の利点を指摘しています。

• セキュリティの強化– パスワードは、コンピュータ システムの弱点 (再利用、共有、クラッキング、スプレイなど) であることが知られており、セキュリティ侵害の大部分の原因となる主要な攻撃ベクトルと見なされています。
• より優れたユーザー エクスペリエンス- ユーザーは複雑なパスワードを覚えたり、さまざまなセキュリティ ポリシーに準拠したりする必要がないだけでなく、パスワードを定期的に更新する必要もありません。
• IT コストの削減- パスワードの保存と管理が不要になるため、IT チームはパスワード ポリシーの設定、漏洩の検出、忘れたパスワードのリセット、パスワード保存規制の遵守といった負担から解放されます。
• 資格情報の使用に関する可視性の向上- 資格情報は特定のデバイスまたは固有のユーザー属性に関連付けられているため、大量に使用することはできず、アクセス管理がより厳格になります。
• スケーラビリティ- 追加のパスワードの負担や複雑な登録なしで複数のログインを管理します。

一方、運用面やコスト面でのデメリットを指摘する人もいます。

• 実装コスト– パスワードレス認証は長期的にはコスト削減につながることは認められていますが、導入コストは現在、多くの潜在的ユーザーにとって障害となっています。コストは、既存のユーザー ディレクトリに認証メカニズムを導入する必要性や、場合によってはユーザーに導入される追加のハードウェア (OTP やセキュリティ キーなど) に関連しています。
• トレーニングと専門知識が必要– ほとんどのパスワード管理システムは同じように構築され、長年にわたって使用されてきましたが、パスワードレス認証には IT チームとエンドユーザーの両方による適応が必要です。
• 単一障害点- 特にOTPや携帯機器アプリケーションへのプッシュ通知を使用する実装では、デバイスが壊れたり、紛失したり、盗まれたり、単にアップグレードされたりした場合に、エンドユーザーにとって問題が発生する可能性があります。^[19]