企業システムの鍵としてはもはや弱すぎる「パスワード」

情報処理推進機構(IPA) 技術本部 セキュリティセンター 情報セキュリティ技術ラボラトリーの研究員であり、サイバー大学 准教授でもある園田道夫氏。IPAでは脆弱性関連情報の届出」制度などを構築するなどの取り組みを行ってきた

これまで3回にわたって従来型のパスワードやIDカードのみに頼る認証の危険性を、企業情報への「玄関」となるエンドポイントのリスクと併せて見てきた。こうした現状について、最新のセキュリティリスク動向や対策手法に詳しい情報処理推進機構(IPA) 技術本部 セキュリティセンター 情報セキュリティ技術ラボラトリーの研究員であり、サイバー大学 准教授でもある園田道夫氏は、「パスワードというのは、企業システムへの鍵としてはもはや脆弱すぎると言っていいでしょう」と指摘する。

では、どのような手段が今後のセキュリティとして求められるのか。園田氏は「これからは、なりすましや不正利用の原因になるパスワードだけの認証ではなく、複数の認証方式を組み合わせる二要素認証など、認証時のリスクヘッジがますます求められることとなります。そうした『もう1つ』の認証方式としては、生体認証が有力ではないでしょうか」と提案する。

生体認証で業務端末の起動時や各種のシステムやサービスにログインしたりすることで、大幅なセキュリティ・レベルの向上が期待できるというのである。

2013年8月から2014年8月の期間で、複数のインターネットサービスで同じパスワードを使い回していることが原因で生じてしまうユーザアカウントへの不正なログイン、いわゆるパスワードリスト攻撃による被害企業件数を、公開情報を元にJPCERT コーディネーションセンター(JPCERT/CC)が集計したもの。ほぼ毎月、パスワードの運用に起因する不正ログインが発生していることが見て取れる。(出典:IPA発表資料)

園田氏は言う。「攻撃者にとってのハードルを上げるという意味でも生体認証の効果は大きいでしょう。セキュリティを破るための"コスト"が計り知れないので、攻撃の費用対効果を考えると割にあわないと判断する可能性が大いにあります」

文字の組み合わせであるパスワードと比べて、生体認証に使われる鍵が有する情報ははるかに複雑であるため、そのセキュリティを破るとなると攻撃者側も相当なコストと労力をかける必要があるのだ。

パスワードリスト攻撃を受けたことを2013年4月から2014年4月までに公表した企業のうち、試行件数」と「成立件数」の両方が公表された主な案件リスト。「不正ログイン成立率」は、企業が公表した数値(AおよびB)を基に、JPCERT/CCが算出したもの。多くの人がパスワードを忘れてしまうなどの理由から、同一のパスワードを使いまわしており、その結果、不正ログインが生じやすくなる、という構図があり、すでにパスワードだけに頼る運用は破たんしているともいえる。 (出典:IPA発表資料)

現在、生体認証には、代表的なものとして、指紋認証、静脈認証、顔認証などがある。ただし園田氏は、このうち外形的な特徴を鍵として使う「体表情報」による認証方式の場合は、偽造などの恐れがあるほか、気温や湿度、本人の体調などで変化してしまい使えなくなる可能性があると指摘する。

そうなると、セキュリティの観点から有効な認証方式は「体内情報」を用いた静脈認証ということとなる。その中で、富士通の「手のひら静脈認証」では、ほかの体の部位に比べ、静脈の本数が多く、複雑に交差しているため、認証精度が高い。さらに、手のひらには太い血管が走っているため、寒さによる血管の収縮といった影響を受けづらい。

認証装置のサイズも小型化が進んでおり、手のひら静脈センサーに至っては、厚さ1cm未満で500円玉ほどのサイズを実現している。そして、このセンサーを内蔵した UltrabookTMなどのモバイルノートPCやタブレットや、既に導入済の業務端末でも使用できるUSB外付けセンサーやセンサー内蔵キーボード・マウスも提供されている。

富士通では、マウスタイプセンサーセット(左)やスタンダードセンサーセット(右)といった製品も提供しており、すでに使用している業務端末に後付けして手のひら静脈認証を導入することが可能だ

こうした高い信頼性と利便性を兼ね備える「手のひら静脈認証」は幅広い分野で活用されている。国内では、住基ネット(住民基本台帳ネットワーク)を始めとする公的機関、また、金融機関では渉外職員用にセンサーを内蔵したタブレットを採用したり、キャッシュカード不要のATMを実現したりしている事例もある。また、海外では、社会保険や年金の不正受給、健康保険証の不正な貸し借りを防止するために確実な本人認証を実現できる方式として採用されている事例もある。富士通によれば、2015年3月時点で、「手のひら静脈認証」を搭載した装置を全世界に向け累計41万台出荷しており、その登録ユーザー数は実に5000万人に達するという。静脈認証がそうしたセキュリティが求められる分野を中心に活用されているということを踏まえれば、その技術の信頼性をご理解いただけると思う。

新たなセキュリティを考える ～時代は生体認証へ～

こうしたパスワードに代わる、もしくはパスワードと新たに組み合わせて使える認証技術が登場してきた一方で、ビジネスのオンライン化やデジタル化の進展により、個人情報や機密情報など企業が守るべき情報はますます増えていくことが予想される。

そうした中、問われるのが、情報漏えいを起こさないための従業員へのセキュリティ教育や組織のルールづくりだ。だがここで園田氏は、「従業員の気持ちを顧みない厳しすぎるルールは、むしろ逆にリスクにつながりかねないのでは」と疑問を投げかける。

「現場の実態から乖離したルールを設けてしまっている例が目立ちます。例えば、どうしても家で仕事をしなければいけない状況なのに、一切の仕事の持ち帰りが禁止されているといったものなどです。そうなると、真面目に仕事をする人であればあるほど、止むに止まれずこっそりと情報を社外に持ち出して家で仕事をすることを繰り返すことになります。そのうち、うっかりとしたミスから情報漏えいが起きてしまうのです」

そしてこのような事態を防ぐには、先述した生体認証のように、人間のミスを誘発する要因を技術的にカバーする仕組みを取り入れることが必要となるのである。

「企業がしっかりと現場の声に耳を傾けて、技術的な対策を施すことで、家でも安全に仕事ができるような環境を整えるべきなのです。今後、ネットや組織内の情報システムには、ますます個人情報が溢れるようになるでしょう。企業のセキュリティ担当者は、それらの情報を悪用できないような仕組みを改めて考え、自社のシステムに実装しておかねばなりません」──園田氏のこの言葉を受け止めて、担当者はこれからの企業におけるセキュリティのあり方として、従来の認証セキュリティのあり方を見直し、生体認証を始めとする新たな技術をぜひ検討してほしい。

富士通では、手のひら静脈認証に加え、様々な認証方式に対応したソリューションを提供しており、セキュリティを向上させたい企業それぞれのニーズに柔軟に対応できる

認証セキュリティの課題を解決する生体認証

1. 「記憶」や「持ち物」ではない「本人自身」による認証

生体認証は登録者個人が持つ網膜や音声、指紋、虹彩、顔、DNA、静脈などの情報を使って個人認証を行う技術。多くの方式が考案され、活用が進められているが、現在、広く一般に活用されているのは「指紋」と「静脈」の2つの技術となる。

生体認証への利用が期待されている生体情報にはさまざまなものがあるが、認証精度や導入コスト、使い勝手などを考慮した場合、現状では「指紋」もしくは「静脈」が広く使われているようになっている。富士通では、その両方をノートPCに搭載して提供することが可能

2. 手のひら静脈認証の特徴と動作原理

静脈認証の中でも手のひら静脈認証は、指静脈などほかの静脈に比べ、静脈の本数が多く、複雑に交差しているため、高い認証精度をほこっている。また、手のひらには太い血管が走っているため、寒さによる血管の収縮といった影響を受けにくいというメリットもある。

手のひら静脈認証の動作原理。センサーの上部に手のひらをかざすと、近赤外線がセンサーより手のひらに向かって照射。血中の酸化ヘモグロビンと還元ヘモグロビンが近赤外線を吸収する差異より、静脈のパターンを認識し、その手のひら静脈パターンの特徴点が誰のものであるかを識別する

3. 世界最小クラスの手のひら静脈センサーをノートPCやタブレットに内蔵

富士通は手のひら静脈認証のセンサーの小型化に取り組み、世界最小クラスの500円玉に近いサイズを実現した。このセンサーを内蔵したUltrabookTMなどのノートPCやタブレットを法人向けに提供している。

最新の手のひら静脈センサーと500円玉の比較(左)と超小型手のひら静脈認証センサーを実際に搭載したノートPCを利用している様子(右)