これからのパスワード管理は顔が命?

米Intelのセキュリティ部門をになうIntel Securityは、マカフィーブランドのセキュリティ製品を提供している。最新バージョンの個人向けセキュリティ製品「マカフィー リブセーフ」などでは、新たにパスワード管理ツールの「True Key」を搭載し、生体認証を使ったパスワード管理を可能にしている。

True Keyを含めた新製品について、Intelのチーフ コンシューマ エバンジェリストであるギャリー・デイビス氏に話を聞いた。

パスワードの安全管理は"顔"がキーワード

今回発表した新製品のうち、リブセーフ、トータルプロテクション、インターネットセキュリティの3製品には、True Keyが搭載されている。True Keyは今年1月に発表したパスワード管理サービスで、さまざまなWebサイトやWebサービスのIDとパスワードをクラウド上に保管し、実際のログイン時に自動入力するためのソリューションだ。

デイビス氏によれば、1人のユーザーあたり、平均で19以上のパスワードを利用しており、その3分の1はパスワードの強度が不足していた。さまざまな攻撃によってパスワードが破られているが、それでもなお、2014年中に最もよく利用されていたパスワードは、「123456」「password」といった簡単なものだったという。

こうした問題を解消するために開発されたものが「True Key」だ。True Keyの特徴は、サイトのログインフォームに自動的にIDとパスワードを入力してくれるため、パスワードを覚える必要がない。パスワードは、極力複雑で、しかもサイトごとに変更した方が安全だが、そうすると普段の利用で記憶できない。覚えるサイト数が増えれば増えるほど、安全でないパスワードが利用されるようになってしまう事態に陥る。

True Keyの場合は、Intelのクラウドストレージに暗号化してIDとパスワードを保管し、ログイン時にそれを自動入力するため、複雑なパスワードを設定しても覚える必要がなく、安全に利用できる。これまでにも、こうしたパスワード管理はあったが、ほかのサービスに比べると「多要素認証にフォーカスしている」(デイビス氏)点が異なるという。

True Keyでは、PCやスマートフォンのカメラを使った顔認証でログインを行う。パスワード認証だけでなく、顔認証をパスしたらIDとパスワードの自動入力が可能になるため、より安全性が高いとしている。特に、今後採用が増えると見込まれるIntelの「Real Sense」を使った顔認証を使えば、より精度の高い顔認証ができるとしている。

生体認証を使ったログインでは、FIDO Allianceが策定するFIDO仕様があり、こちらは生体認証をパスしてトークン化したパスワードでログインするため、パスワード自体を保管する必要がなく、安全性が高まるとされる。Intel自体はFIDO Allianceに加盟しているが、現時点でTrue Keyは準拠していない。

ただ、FIDO自体はサービス側の対応も必要となるため、すべてのサイトですぐに使えるわけではない。そのため、IntelとしてはFIDO Allianceの加盟により、パスワードの安全な利用について模索しつつ、True Keyの「IDとパスワードをクラウドに保管する手法」を採用したという。

「究極の方法はトークン化してパスワードを送ること。ただ、取りかかりとしてコンシューマ側に多要素認証の重要性を啓蒙したい。そうすれば、サービス側もトークンが必要という認識になるだろう」(デイビス氏)

そのためには、業界全体の取り組みが必要だとして、デイビス氏はパートナーのサービスプロバイダーなどとも連携していく考えを示す。こうしたID保護についてデイビス氏は「これから先も成功の鍵だと考えている」と話し、今後もイノベーションを推進していきたいと強調する。

マカフィーがIntelに買収されたことで、True Keyのキーとなる顔認証がReal Senseによって精度が向上したとのことで、IntelのSoftware Guard Extensions(SGX)といったIntelのセキュリティ技術との連携もしやすくなったとデイビス氏はアピールする。今後も、ハードウェアとソフトウェアをうまく組み合わせたセキュリティ機能を提供していきたい考えだ。