コロナ時代、「ニューノーマル」と呼ばれる新しい働き方が世界中で広まりとともに、ITサービスの活用においてセキュリティ課題が浮き彫りになってきました。
「パスワードの問題」です。
役員IDやパスワードの闇市流通やVPNのID・パスワードの認証情報流出など、リモートワークで活用が増加したサービスを狙った事件が後を絶ちません。そのため、ニューノーマル時代を後押しする次世代の新たなセキュリティ対策としてパスワードを使わない認証の需要が高まることが予測され、最近ではノートパソコンやスマートフォンなど標準規格となるFIDO2に対応したパスワードレス認証デバイスも増えてきました。
このような背景から、昨年より弊社ISRでも提供しているパスワードレス認証についてより理解を深めていただくため、CloudGateをご利用中のお客様限定で8月27日（木）「コロナ時代にはパスワードレスでセキュアログイン!Webセミナー」を開催しました。
セミナーでは、パスワードレス対応デバイスとなるMacBookでのTouch IDやWindows Helloなどの使い方やデモを交え、リモートワークに最適なCloudGateでのセキュリティプロファイル設定の具体例も合わてご紹介しました。
パスワードレス認証の利用での設定方法についてはご理解はいただけたものの、セミナー後半で行われた、Q&Aセッションにおいて「そもそもパスワードレス認証のFIDO2って？」という疑問を持たれている方がいらっしゃることが分かりました。
そこで今回は、パスワードレス認証を身近に感じていただくためFIDO2がどのようなものなのかをより詳しくご紹介いたします。
Q&Aセッションより FIDO2について
Q. FIDO2認証についてもう少し詳しく教えてください
A. FIDO2を簡単にいうと本人情報、つまり生体情報がネットワークに流れることがなく、またサーバー側に保存されることがないということです。
現在主流となるパスワードの認証では、IDとパスワードを入力し、暗号化されているものの、ネットワークにパスワード情報が流れ、サーバー側でそのIDとパスワードがあっているのかを確認する仕組みになっています。
ここで、パスワード認証とFIDO2認証の大きな違いは、シェアードシークレット（秘密の共有しない）ということです。FIDO2認証では、MacBookのTouch IDやWindows HelloなどFIDO2に対応している認証器に事前に登録した生体情報を使い本人確認をし、確認をした結果だけをサーバーに送信するため、パスワードのように認証情報をサーバーに保持せず、またネットワーク上にも流れないため、認証情報のリスクが少なくなるのです。そして、さらにはパスワードの煩わしさからの解放も可能となります。
CloudGate UNOでは現在クラウド型認証サービスの国内企業として唯一FIDO2認定を取得しており、FIDO2に準拠したパスワードレスを提供しています。
CloudGate UNOでのFIDO2登録と認証の流れは以下です。
＜FIDO2登録の流れ＞
FIDO2には、秘密鍵と公開鍵を用いた公開鍵暗号の仕組みによりユーザーを認証する業界標準の技術が用いられています。まず、登録の流れについては、ユーザーがFIDO2に対応したサーバにアクセスすると、FIDO2に対応したサーバから本人確認が要請されます。それに対し、ユーザーは認証デバイスに指紋をかざしたり、顔をかざしたり、あらかじめ認証デバイスに登録された本人情報と合致しているか確認されます。本人性の確認が取れたところで、公開鍵と秘密鍵がペアで作成され、公開鍵はサーバに、秘密鍵はそのまま認証デバイスに保管されます。
＜FIDO2認証の流れ＞
ユーザーが認証を開始すると、サーバから本人確認が要請されます。本人性の確認が取れたら、その結果のみを秘密鍵で署名し、デジタル署名としてサーバに送信されます。この情報は登録時にペアで作成された公開鍵でのみ検証でき、問題がなければ認証が完了する仕組みになっています。
おわりに
今回のセミナーでは、パスワードレス認証の重要性を理解しながらもそこに利用しているFIDO2がそもそもどのようなものなのかという認知があまりされていないことが分かりました。
リモートワークがこれから進み、ニューノーマルな働き方を継続していく日本社会において、パスワードの問題から目をそむけることが難しくなると予測できます。そして、そのセキュリティ対策として、パスワードレス認証を適応できるCloudGate UNOは最適です。
シングルサインオン機能を利用すれば、130以上のクラウドサービスと連携してログイン不要での利便性を提供するとともに、FIDO2を利用したパスワードレス認証を利用できるので、私たちに付き纏うパスワード認証の脅威を取り除くことができます。
ISRでは皆さまのセキュリティに関する不安に対して、全力でサポートして参ります。リモートワークやクラウドサービスのセキュリティについて、何かお困りのことがございましたら、ぜひ我々にご相談ください。
