ニュース 2019.02.21 パスワード最前線(2) パスワード不要の「パスワードレス認証」広がる――アプリや指紋・顔などで安全ログイン
端末へのログインや画面ロックの解除に、顔や指紋などの生体認証が利用できる製品が増えてきた。パスワードや暗証番号は使わずに、端末に顔を向けたりタッチしたりするだけで、一瞬で認証が完了する便利な機能だ。そんなパスワードを使わない「パスワードレス認証」がインターネットのサービスにも広がり始めている。
マイクロソフトのパスワードレス認証
マイクロソフトが提供するパスワードレス認証サービスは2つある。1つは、パスワードを使わずにアプリでログインを承認する方法で、一昨年から提供されている。もう1つは、Windows Hello（Windows10の認証機能）やセキュリティキーを使う方法で、昨秋から提供されていたもの。日本語サイトではしばらく未サポートのままだったが、ようやく利用できるようになった。
スマホ用「認証アプリ」でログイン
同社が無料で提供しているスマートフォン用の認証アプリ「Microsoft Authenticator（マイクロソフト・オーセンティケーター）」と連携したログイン方法で、アプリに届くサインイン要求メッセージを承認するとログインできる。アプリ（iPhoneなどのiOS用とAndroid用のどちらも可）をアカウントの2段階認証の認証アプリとして登録し、ログイン時にアプリを使用すると、アプリに要求メッセージが届く。
アプリ側での承認は、端末の指紋認証や暗証番号などでロックを解除できることが条件になっている。端末を所持し、なおかつロックを解除できるという2要素で保護されているわけだ。さらに初回の承認時のみ、ログインしようとしている側の端末に表示される2桁の数字を、アプリ側で選択するというひと手間が加わる。ログインする環境が変わらない限り、2回目以降にこの手順はない。このプロセスの有無で、自身がログインしようとしているのか、騙されて別の環境でのログインを手助けしているのかが判別ができる。
▲マイクロソフトが提供するアプリでログインを承認する方法：（上）初回承認時のみ、ログインしようとしている側の端末に表示される2桁の数字を認証アプリ側で選択する。（下）2回目以降は、認証アプリに届くサインイン要求を承認するとログインできる。
「Windows Hello」または「セキュリティキー」でログイン
Windows Helloは、Windows 10がサポートする指紋認証などを使用する認証機能のこと。対応パソコンやWindows Hello互換の認証機器をセットアップし、同社のブラウザ「Microsoft Edge」を使用すると、パスワードの代わりに認証に使えるようになる。
セキュリティキーは、FIDO2（前編で述べた認証規格FIDO U2FおよびFIDO UAFの拡張規格）に対応した製品なら単体で、Windows Helloに対応した製品の場合はWindows Hello経由で、Microsoftアカウントに登録する。Microsoftアカウントのサインインオプションで「Windows Helloまたはセキュリティキーを使用してサインイン」を選択すると、登録したWindows Helloやセキュリティキーを使ってログインできる（下図参照）。
▲マイクロソフトが提供するWindows Helloまたはセキュリティキーでログインする方法：（左）サインインオプション。（右）認証画面。
ヤフーのパスワードレス認証
ヤフーが提供するパスワードレス認証のうち、2種類のサービスをご紹介する。従来のパスワードは使わず、SMSやメールに届く「確認コード」を使ってYahoo IDにログインする方法と、スマートフォンの「指紋認証」などを使う方法だ。ソフトバンクのスマートフォンを使用している場合は、操作不要の「スマートログイン」も利用できる。確認コードを使うログインやスマートログインを設定すると、従来からのパスワード認証を無効化することも可能だ。
▲ヤフーのパスワードレス認証：（左）SMSの確認コード。（右）指紋認証
「確認コード」でログイン
SMSやメールを使う2段階認証から1段階目のパスワード認証を無くした方式で、登録した電話番号やメールアドレス宛てに届く数字を入力してログインする。SMSからの自動入力に対応したiPhoneなら、ワンタップで快適にログインできる。
SMSやメールで届く数字は毎回異なるので、即座に使われない限り不正ログインはできない。ただし、SMSはスマートフォンとSIMカードのセキュリティ次第で、メールは送信先のメールアカウントのセキュリティ次第で、コードを取得されるおそれがある。ユーザーが騙されてしまった場合やマルウェア感染にも弱い。
「指紋」「顔」などでログイン
前編で述べた「FIDO」を使ったログインを提供する。事前にサービスに登録しておいた端末上で指紋認証などを行えば、オンラインのサービスにログインできる仕組みだ。
現時点では、Android端末上のGoogle Chromeからのログインでしか利用できないという制約があるが、前述の確認コードの弱点はなくなり、簡単でありながら安全性は高い。ただし、確認コードでのログインは無効にできないので、騙されたユーザーが操作して攻撃者をログインさせてしまう余地は残る。
「パスワードを覚えなくてよい世界」へ
一昨年から始まったパスワードを使わないログインは、ようやく環境が整い始めたところだが、パスワードレスの世界が垣間見えただろうか。今後のアップルの参入と対応サービスの拡大次第ではあるが、パスワードを覚えなくてもよい世界は、すぐそこまで来ているのかもしれない。
TEXT：現代フォーラム／鈴木直美
あなたの大切なパソコン・スマホを守ります！
世界が認める総合ウイルス対策ソフト
