安全な認証手段が増えてきた今でも主流は「パスワード」

　Google、Microsoft、Appleが、パスワードなしでサインインする機能である「パスキー」を各プラットフォームで導入する一方で、今もほとんどの人はパスワードに依存した生活を送っている。

提供：Getty Images / iStockphoto

　Googleは最近になって、「Chrome」と「Android」で、FIDO Allianceのパスキーのテストを開始した。FIDO Alianceは、スマートフォンのセンサーによる生体認証を使用したパスワードなしでのサインインを推進している団体だ。Appleも秋にリリースした「iOS 16」と「macOS Ventura」でパスキーに対応し、「Face ID」や「Touch ID」を使用してアプリやウェブサイトにログインできるようにした。パスキーは、パスワードのない世界への次の一歩だ。

　Googleは、パスキーは情報が再利用されることがなく、サーバーがセキュリティ侵害を受けても認証情報が漏えいしないため、パスワードよりもはるかに安全だと述べている。今後、Androidユーザーはパスキーを作成して使用することができるようになり、作成されたパスキーはGoogleのパスワードマネージャーを介して同期される。その一方、開発者には、この機能に対応するための「WebAuthn API」が提供される。ただしこのアプローチは、現時点ではまだテスト段階だ。

　ところが、FIDO Allianceが英国、フランス、ドイツ、米国、オーストラリア、シンガポール、日本、韓国、インド、中国の消費者1万人を対象として実施した調査では、Web Authnの標準が最終的に確定したのは2019年だったにもかかわらず、いまだに最もよく利用されている認証手段はパスワードであることが明らかになった。

　調査によれば、51％のユーザーが、60日以内にパスワードを使用してオンラインバンキング口座にログインしていた。回答者の28％はモバイルデバイスに送信されたワンタイムパスワードを使用しており、パスワードマネージャーを使用していた人も14％いた。使用されていたほかの認証手段には、「Google Authenticator」や「Microsoft Authenticator」などの認証アプリ、「YubiKey」や「Google Titan」などのセキュリティキー、QRコード、ブラウザのパスワード自動入力機能、単純にアカウントにログインし続けているなどがあった。

　一方、今回の調査では、パスワードの使用率が下がっていることも明らかになった。金融サービスではパスワードの利用が5％減少しており、業務用アカウントでは7％、ソーシャルメディアやストリーミングのアカウントでは8％、スマートホームデバイスでは9％減っていた。

　FIDOは、オンラインでの認証手段の主流はいまだにパスワードのままで、そのことが一般消費者や企業に大きな問題を引き起こしていると述べている。「例えば、7割の人は1カ月に1回以上パスワードの再設定を行う必要があった。サービスプロバイダーや小売業者も影響を受けており、1カ月に59％の人がオンラインサービスへのアクセスを諦めており、43％がパスワードを思い出せないことが原因で購入を取りやめていた」という。

　SMSによるワンタイムパスワードの送信は、以前から安全ではないとされていたが、金融サービス機関ではいまだによく使用されている。ドイツの主要銀行は、2019年からSMSによるワンタイムパスワードの送信を控え始めた。Microsoftは、2020年にSMSではなくアプリを使用した多要素認証を使用すべきだと述べた。これは、通信事業者のスタッフが騙されてSIMスワップ攻撃を受ける可能性や、SMSのワンタイムパスワードがフィッシング攻撃に利用される場合があるためだ。

　漏えいした大量のパスワードのリストを使用したパスワードスプレー攻撃がこの10年間増加しており、効果的な対策として多要素認証が導入されてきた。そのことによって、SMSを使用した多要素認証がハッカーに狙われやすくなっている。

　ところが、FIDO Allianceの調査では、SMSを使用した多要素認証を使うサービス提供事業者はむしろ増えていることが明らかになった。調査によれば、SMSを経由したワンタイムパスワードの利用が、金融サービスや業務用アカウント、ソーシャルメディア、ストリーミングのアカウント、スマートホームデバイスで増えている。

　今回の調査では、比較的新しい概念であるにもかかわらず、パスキーの認知度が高いことも判明した。各市場の平均で回答者の39％が、パスキーの概念を非常によく知っているか、ある程度知っていると述べていた。