Loading article…
信頼認証は、信頼ベースの ID 属性プロセスの一部であり、2 番目のエンティティが最初のエンティティによって導入された認証プロセスに依存します。2 番目のエンティティは、その目的に固有の追加要素を作成します。この要素は、最初のエンティティの認証プロセスが満たされた場合にのみ取得またはアクセスできます。
信頼認証は、ランダムな特性を持つ 1 つ以上のトークンを最初のエンティティによって管理される安全な領域に送信することで実現できます。この安全な領域には、アカウントの使用を許可された人物のみがアクセスできます。安全な領域は、オンライン バンキング ポータル、電話バンキング システム、またはモバイル バンキング アプリケーションです。
トークンは多くの場合、金融口座への 1 つまたは複数の借方または貸方の形式をとり、借方または貸方の数値がトークンを形成し、その数値は口座保有者によって確認されます。
トークンは、カード所有者が最初のエンティティのセキュア領域からセキュア領域にアクセスすることで取得されます。このセキュア領域は保護されており、最初のエンティティの認証手段を満たすことによってのみアクセスできます。金融サービスの場合、セキュア領域にアクセスするための認証には通常、多要素認証が含まれ、 SEPAでは強力な認証が必要になる可能性があります。
トークンを生成して送信する第 2 者の観点から見ると、トークンの送信と 取得の要件により、全体的な認証プロセスにさらなるチャレンジと応答の要素が追加されます。
トークンは第 2 者によって動的に生成される可能性があり、ワンタイム パスワードとして機能する場合があります。
信頼認証方式は、クレジットカード、電子委任状、口座引き落とし取引などの金融商品に特に適用されます。これらの方法では、個人が金融商品で取引を開始できますが、その個人がトークンの価値を確認するまで、金融商品がその個人に属するものとして検証されません。
信頼方式では、トークンが安全な領域から取得されると、 帯域外応答手段が組み込まれることがよくあります。
使い方
Reliance 認証では、ユーザーが不正行為者でないことを確認するために、複数のステップの入力を使用します。次に例を示します。
- クレジットカードを使用する場合は、磁気ストライプをスワイプするかチップを挿入し、その後署名します（場合によっては、支払いカード番号の下4桁が取得されます）。[1]
- CAPTCHA の質問に答えて、ロボットではないことを証明します。
- セキュリティキー
- SMS または電子メールでオンライン アカウントを確認します。
- 時間ベースのワンタイムパスワードアルゴリズム。
法的根拠
欧州連合内のオンライン決済取引に強力な顧客認証[2]が導入され、口座開設前に法定要件に従って本人確認された確認済みの人物が口座にリンクされるようになりました。信頼認証は既存の口座を利用し、元のソースが「信頼できる」ことを条件に、それらの口座にさらなるサービスを付加します。
信頼性の概念は、米国、[3]、 EU28、[4]、オーストラリア、[5]、シンガポール、ニュージーランド[6]のさまざまなマネーロンダリング防止（AML）/テロ資金対策（CTF）法から派生した法的概念であり、これらの国では、第一当事者が金融機関である場合、第二当事者は第一当事者の顧客デューデリジェンスプロセスに依拠する可能性があります。
オーストラリアの法律では、「信頼」は2006 年マネーロンダリング防止およびテロ資金対策法(Cth) の第 38 条に基づいています。
欧州委員会の「マネーロンダリングやテロ資金供与の目的で金融システムを利用することの防止に関する欧州議会及び理事会の指令案」では、第11条(1)(a)を根拠としています。
英国における「信頼」には非常に特別な意味があり、マネーロンダリング規制 2007 の規制 17 に基づくプロセスに関連しています。AML の目的における「信頼」と「信頼認証」は、どちらも同様の概念を使用していますが、同じではありません。
米国連邦金融機関検査協議会 ( FFIEC ) は、2005 年 10 月付けの「インターネット バンキング環境での認証」を発行しました。Reliance 認証は、14 ページの最後の段落に概説されています。
利点
信頼認証方法の利点は次のとおりです。
- 金融サービスと併用される場合、元の口座が開設された時点で、AML/CTF の法的要件に従って顧客の身元が確認されます。
- すでに維持されている既存のセキュリティ（金融機関など）を再利用します。
- 彼らは、よく知られた信頼できるソースを使用します。トークン（クレジットまたはデビット）を取得するために金融口座にアクセスすることは、口座保有者にとって馴染みのあるプロセスであり、モバイル、オンライン、電話バンキング、ATM アクセスなど、さまざまな手段で利用できることがよくあります。
- どちらのプロセスも、トークンの送信にインバンド方式を使用し、アウトオブバンド応答メカニズムを使用して、アカウント所有者がトークン値を新しいモバイル、Web ページ、またはアプリに再入力します。これにより、トークンが傍受されることに関する中間者攻撃やブラウザ内の少年攻撃が軽減されます。
- これらはソフトウェア ソリューションであり、追加のハード トークンや複雑な統合は必要ありません。トークンは金融ネットワークの一部として送信されるため、専用の新しいネットワークは必要ありません。
- 口座発行機関の関与なしに実施できる。
デメリット
依存認証方法の欠点は次のとおりです。
- コンピュータチップのような低コストの認証方法への依存は、ハッカーによる情報窃盗を誘発する。[7]
- 特に磁気ストライプからコンピュータチップへの移行以来、詐欺を監視するための効果的なツールが存在しない。[8]
- 管理者が追加のソフトウェアをアップロードしたり、ユーザーが情報を入力したりするための余分な時間。[8]
- モバイルデバイスをサポートできないこと。
- パスワードの設定が不十分だと、詐欺師が複数のプラットフォームから情報を盗む可能性があります。[7]
参照
参考文献
- ^ 「米国におけるコンピュータチップ決済カードの導入：決済詐欺への影響」（PDF）。www.kansascityfed.org 。
- ^ 「ECB、インターネット決済のセキュリティに関する最終勧告を発表、決済口座アクセスサービスに関するパブリックコンサルテーションを開始」2013年1月31日。
- ^ 「銀行秘密法/マネーロンダリング防止検査マニュアル」(PDF)連邦金融機関検査評議会2006年2022年2月18日閲覧。
- ^ "EUR-Lex - 52013PC0045 - JP - EUR-Lex".
- ^ 「2006年マネーロンダリング防止およびテロ資金対策法」Comlaw.gov.au 。 2022年2月18日閲覧。
- ^ 「AML/CFT法および規制 - dia.govt.nz」。2013年10月4日時点のオリジナルよりアーカイブ。2013年10月1日閲覧。
- ^ ab Holm, Eric (2014年3月23日). 「デジタル社会におけるソーシャルネットワーキングと個人情報盗難」
- ^ ab 「初心者のための2要素認証」。2021年6月24日。