本人認証の方式と攻撃対策

本人認証は、利用者が主張する識別子に対して、本人だけが持つ知識や所持物、身体的特徴によって正当性を確かめる仕組みである。認証方式は単独で使うだけでなく組み合わせて強度を高められるが、どの方式にも盗用、推測、再利用のいずれかに対する弱点がある。そのため、攻撃手法と対策を対で理解し、どの弱点を補っているのかを意識することが重要である。

認証方式の仕組み

パスワードをそのまま通信路に流す方式は、盗聴されると同じ値が再利用されるおそれがある。チャレンジレスポンス認証は、サーバがランダムなデータ（チャレンジ）を送り、クライアントが利用者のパスワードとそのデータから応答を計算して返す方式である。パスワード自体を送信しないため、通信を盗聴されても、そのパスワードをそのまま使われる危険を抑えられる。

チャレンジは認証のたびに変わるため、過去の応答を記録して使い回すことが難しい。この点が、固定パスワードを送る方式とチャレンジレスポンス認証を分ける大きな違いである。

ワンタイムパスワードは、認証のたびに表示される値が変わる点でチャレンジレスポンス認証と似ている。しかし、サーバから受け取ったランダムなデータに応じて応答を計算する仕組みではないため、両者は別の方式として区別する必要がある。

リスクベース認証と追加認証

リスクベース認証は、アクセスの環境や取引の状況からリスクを評価し、そのリスクが高いと判断した場合に追加の本人認証を求める方式である。普段と異なる環境からのアクセスを危険とみなして認証を強めるため、どの場合にも同じ手順を課す方式とは考え方が異なる。

3Dセキュア2.0も、この考え方に基づく本人認証サービスである。オンラインのクレジットカード決済で、利用者の取引履歴や決済に用いるデバイスの情報からリスクを判断し、不正の疑いがあるときにカード会社が追加の本人認証を行う。

この方式は、リスクの低い取引で利用者の負担を増やさずに安全性を保てる利点がある。一方で、リスクの判断基準が不十分だと不正を見逃すか、正当な利用者に追加認証を繰り返し求めることになるため、判断の精度が運用上の課題となる。

攻撃手法と対策

ブルートフォース攻撃は、使用可能な文字のあらゆる組合せをパスワード候補として、繰り返しログインを試みる攻撃である。 対策としては、一定回数の失敗で一時的にログインを制限することや、推測されにくい長さと文字種のパスワードを求めることが基本となる。