ワンタイムパスワード（OTP）
OTP ｜ One-Time Password
ワンタイムパスワード（OTP）とは？
サイバー攻撃が巧妙化する現代において、IDと固定パスワードだけでは企業の情報資産を守ることは困難です。そこで有効な対策の一つが「ワンタイムパスワード（One-Time Password、以下OTP）」です。
OTPは、ハードウェアトークンやスマートフォンアプリが発行するログインのたびに一度しか使えない、使い捨てのパスワードです。物理的な機器が発行する性質上認証の3要素としては「所持情報」になります。パスワードとOTPを併用して多要素認証（MFA）を行うことで、万が一パスワードが流出しても、OTPを知る手段がない限り攻撃者が悪用することはできないため、不正ログインのリスクを大幅に低減できます。
ワンタイムパスワード（OTP）のメリット
企業におけるOTPの導入には、以下のようなメリットがあります。
- 1. 二要素による認証の強化：ブルートフォース攻撃やフィッシング詐欺などのパスワードを狙った不正アクセスを防ぐために有効です。
- 2. ログイン時の操作がスムーズ：ユーザーは画面に表示された文字を入力すればよいため、直感的に操作ができます。
- 3. 比較的容易な導入：他のMFAソリューションと比較して、アプリのインストールのみで利用できるなど導入のハードルが低いと言えます。
しかし近年ではOTPを突破するフィッシング攻撃（後述）が登場しており、認証強化策としての効果は薄れてきています。
ワンタイムパスワード（OTP）の潜在的な問題点
OTPは強力なセキュリティ手段である一方、利用方法によっては以下のような問題も発生する可能性があります。
- 問題点1：フィッシング詐欺のリスク
OTP自体は使い捨てですが、フィッシングサイトにリアルタイムでOTPを入力させて、その場で不正ログインを試みる「リアルタイムフィッシング」には注意が必要です。
- 問題点2：デバイス依存の問題
スマートフォンアプリやハードウェアトークンを利用する場合、デバイスの紛失や故障によってログインできなくなるリスクがあります。
- 問題点3：ユーザーの利便性低下
毎回異なるパスワードを入力する手間が、ユーザーの利便性を損なう場合があります。特にSMS認証は、通信状況や受信遅延によりストレスの原因となることがあります。
CloudGate UNOによる安全で便利な認証の実現
企業向けIDaaSであるCloudGate UNOは、これらの課題を解決し、セキュリティと利便性を両立する多要素認証・アクセス制限を提供します。
- 様々な多要素認証（MFA）ソリューションでセキュリティを強化
CloudGate UNOは、OTP認証に加え、指紋や顔認証といった生体認証、そしてパスワードレス認証（FIDO2）など、多様な認証方法を提供します。これにより、お客様はリスクに応じて最適な認証要素を選択し、リアルタイムフィッシングやデバイス紛失のリスクを回避できます。
- デバイス証明書による端末の厳格化
端末に「証明書」をインストールすることで、許可された端末からのみクラウドサービスにアクセスできるようになります。これにより、情報漏えいのリスクを大幅に減らし、安全なリモートワーク環境を構築できます。
CloudGate証明書によるフィッシング対策デバイス証明書の仕組みはこちら
- 専用アプリ「Pocket CloudGate」による利便性の向上
CloudGate UNO専用アプリ「Pocket CloudGate」は、Google AuthenticatorやMicrosoft Authenticatorと連携してOTPを生成できます。これにより、複数のアプリを管理する手間を削減し、認証を一元的に管理できます。
また、スマートフォンに搭載の生体認証機能を利用する方法もあり、より簡単で安全な認証を行うことも可能です。
※Pocket CloudGateのスマートフォンを利用した生体認証では、認証器名 CloudGate Authenticatorと登録されます。CloudGate UNOへのサインオン時は CloudGate Authenticatorをご選択ください。
- 柔軟なアクセス制限で利便性を確保
CloudGate UNOでは、クラウドサービスごとにアクセス制限（IPアドレス、証明書など）や認証方法を設定することが可能です。また、認証状態保持機能を利用することで一定期間は認証をスキップすることができます。これにより、従業員の作業効率を妨げずに、リスクの高いアクセスにのみOTPを要求するといった柔軟な運用が可能です。
CloudGate UNOは、単なるOTPツールではなく、企業のセキュリティポリシーに合わせた柔軟な設定と、ユーザーの使いやすさを両立させる統合的な認証基盤を提供します。
FAQ（よくある質問）
- OTPはSMS認証とどう違いますか？
SMS認証もOTPの一種ですが、SMSは「通信傍受」や「SIMスワップ攻撃」といったセキュリティリスクが指摘されています。CloudGate UNOは、よりセキュリティが高く、オフラインでも利用可能なアプリベースのOTP（例：Pocket CloudGate、Google Authenticatorなど）を強く推奨しています。
- スマートフォンの機種変更をした場合、OTPは引き継げますか？
機種変更の際は、セキュリティ上、新しい端末での再設定（再登録）が必要です。 旧端末の登録解除と新端末への登録手順を、CloudGate UNOのヘルプセンターで詳しくご案内しております。
- OTP認証以外にどのような認証方法がありますか？
CloudGate UNOは、生体認証（指紋・顔）、デバイス証明書、パスキー（FIDO2）など、多様な認証方法を提供しています。
