全3675文字
PR

 IDaaSには大きく認証、ID連携、アクセス制御、ID管理の4つの役割がある。ここではそのうちの認証とID連携について解説する。

 まず認証についてだ。アプリケーションやサービスを利用する際に、ユーザーIDとパスワードを入力した経験は誰しもあるだろう。これが利用者の認証だ。

 事前にユーザーIDとパスワードの組み合わせをアプリケーションやサービスに登録しておき、そのユーザーIDの利用者しか知り得ない情報(パスワード)を照合することで、ユーザーIDの利用者が正しいことを確認する。利用者ではなく、クライアント証明書などを使用して機器を認証することもある。

正しい利用者かどうかを確認する「認証」
正しい利用者かどうかを確認する「認証」
[画像のクリックで拡大表示]

複数の要素で利用者を認証

 ユーザーIDとパスワードの組み合わせによる認証は古くから使われてきて、現在も主流である。コストが低い上に利便性が高いからだ。しかし問題点も多い。まず第一になりすまされる危険性が高い。

 またセキュリティーの強度(安全性)を利用者に任せている点も問題だ。パスワードは利用者自身が設定および管理するのがほとんどなので、セキュリティー意識が低い利用者や記憶に自信がない利用者は「123456」や「qwerty」といった単純な文字列を設定しがちだ。こういったパスワードは簡単に破られてしまう。

 使い回しの問題もある。多数のサービスを利用している場合、それぞれに異なるパスワードを設定するのは大変だ。このため同じパスワードを使い回している利用者は少なくない。そのような場合、あるサービスからパスワードが流出すると、同じパスワードを設定した他のサービスまで不正アクセスされる恐れがある。

 あるサービスから流出したパスワードのリストを使って他のサービスに不正アクセスするサイバー攻撃は「リスト攻撃」と呼ばれ、大きな被害をもたらしている。

 以上のようにパスワードだけに頼る認証は問題が多いため、インターネットを経由して利用するIDaaSでは多要素認証を標準的に備えている。

 多要素認証とは「記憶」「所有物」「生体情報」の3種類の要素を組み合わせた認証である。パスワードは「記憶」による認証の一種だ。前述の利用者の機器を認証するのは「所有物」に基づく認証になる。

IDaaSは多要素認証に対応
IDaaSは多要素認証に対応
[画像のクリックで拡大表示]