パスワードの使用拡大
パスワードは昨今の社会環境に於いて必要不可欠な個人情報です。金融取引、証券取引はもちろん、 通常の会社業務におけるEメールの送信、またオンラインショッピングを行う際にもパスワードは必要です。 さらに、入退出用の鍵もパスワードに移行しつつあります。
固定パスワードの危険性
パスワードは私用者を認証する重要な手段である半面、流出すると大きな危険が発生します。
One Time Password
一度限りの有効な暗証番号を利用すれば、ユーザーの暗証番号がハッキングにより流出したとしても 流出した暗証番号は次回には使用できなくなるのが特徴です。
OTP(One Time Password)の条件
- 毎回違う、一度きり有効な暗証番号を利用するため、流出しても危険を回避することが可能です。
- ハッキング不可能なOTPトークン(パスワード生成機)を利用します。
- 2要素認証体系(PIN+OTP)を利用します。
- 複製が不可能です。
- OTPトークン
:
携帯に便利なOTPを生成させるセキュリティ装置。
- 認証システム
:
ユーザーが入力したOTP番号の有効性をチェックするシステム。
- PIN
:
Personal Identity Numberの略語で、ユーザーがOTP番号と一緒に入力する暗証番号。
2要素認証方式
2要素認証方式(Two Factor Authentication)は認証システムでは最も重要な要素です。 つまりOTPトークンが生成した1度限り有効な暗証番号と、ユーザーがあらかじめ設定しているパスワード(PIN)を 同時に認証する方式で、ハッキングを効果的に遮断できます。
OTP認証フロー
OTP認証はユーザーの立場からすると、設定したPINとOTP番号を入力するだけであり、とても簡単なセキュリティソリューションです。 ユーザーは特別なアプリケーションをインストールする必要はありません。
1.
ユーザーがIDとともに、OTPトークンに表示されたOTP番号とPINを入力する。
2.
ユーザーが利用するサービスサーバは、ユーザーの入力情報をOTP認証サーバに転送する。
3.
OTP認証サーバは、ユーザーが入力したOTP番号と認証サーバで管理する番号と一致するかチェックする。
4.
ユーザーが正しいOTP番号を入力し、認証サーバで管理する番号と一致した場合、認証成功となる。
5.
以降、ユーザーはサービス利用が可能となる。
様々な方式のOTP
OTP番号を生成する方式には、時間同期式、カウンタ同期方式、チャレンジ&レスポンス方式等があります。
方式
特徴
その他
時間同期方式
- 世界で最も利用されている方式。
- あらかじめ設定した時間ごとにOTP番号を自動生成する。
- 現在時刻をOTP生成の要素とする。
- OTP番号の有効時間が非常に短いため、流出しても安全。
- OTPトークンの時間が性格出なければならないため、ハッキングが難しい。
使いやすく安定的、さらに優秀なので最も多く利用されている。
カウンタ同期方式
- OTPトークンのボタンを押す旅にOTP番号が生成される方式。
- 認証サーバはOTPトークンのカウンタ値を一致させなければならない不便さがある。
- OTPカウンタ値の有効期間がないため、流出時、アクシデント発生リスクが高い。
利用は簡単だが、セキュリティ性は低い。
チャレンジ&
レスポンス方式
- 認証サーバから受信した値をOTP危機に入力することでOTPを生成する。そのOTP番号を認証サーバに送信。
- 過去、銀行で使用されたセキュリティカードがチャレンジ&レスポンス方式の一種。
- OTP危機に数値する操作が必要なので、非常に不便。
使いにくいため、ほとんど使用されていない。