Skip to main content
The Language of Cybersecurity

パスワードレス認証とは何ですか?

パスワードレス認証、パスワードやその他の記憶された情報を使わずにユーザー・アイデンティティを確認します。代わりに、セキュリティ・チームは、ユーザーを一意に識別するオブジェクトである「所有要因」(例: 登録されたモバイル・デバイス、ハードウェア・トークン、または生成されたワンタイムパスワード) または「固有要因」(例: 指紋や顔のスキャン) のいずれかを使って、ユーザのアイデンティティーを検証します。多要素認証 (MFA) およびシングル・サインオン・ソリューションと組み合わせて使用すると、パスワードレス認証によりユーザーの操作性が向上し、セキュリティが強化され、IT運用のコストと複雑さが軽減されます。

パスワードの問題

所有や固有の要素とは異なり、従来の認証はパスワードなど、ユーザーが知っているものだけに基づいているため、本質的に再利用と盗難の両方に対して脆弱です。2020年には、ハッキングに関連するデータ侵害の80%以上が、総当たり攻撃か、脆弱なパスワードや盗まれたパスワードの利用によるものでした。

パスワードには、ユーザーとITスタッフの両方による継続的管理も必要です。平均的なユーザーにとって、複雑さの異なる複数のパスワードを常に追跡することは、少なくとも面倒なことであり、多くの場合は困難です。パスワードを忘れると、作業の遅れやアカウントのロックアウトの発生の可能性があります。記憶のために、ユーザーは複数のアカウントでパスワードを再利用したり、パスワードを書き留めたりしていることが多く、すでに脆弱なシステムをさらに危険にさらしています。パスワードの再利用は、ハイジャック、フィッシング、データ侵害の影響を増大させ、攻撃者が盗まれたパスワード1つで複数のアカウントのロックを解除することを可能にしてしまいます。

ITスタッフにとって、正規のユーザーであってもパスワードのリセットを管理することは、コストと時間がかかる作業です。大企業では、ITヘルプデスクのコストの50%近くをパスワードのリセットが占めています。従業員がパスワードをリセットできるようにするためだけに、年間100万ドルを超える人件費がかかる可能性があるのです。リセットはまた、価値の高いデジタル変革の課題や高度なサイバー攻撃に対する防御から注意をそらすことにもなります。

Why Passwordless?

パスワードレス認証の利点

Passwordless authentication provides a single, strong assurance of user identity. For organizations, this means: パスワードレス認証は、単一の強力なユーザー・アイデンティティの保証を提供します。組織にとって、これは次のことを意味します。

  • 優れたユーザー操作性: ユーザーは生産性を高めるためだけに、複雑なパスワードとユーザー名の組み合わせを覚えて更新する必要がなくなりました。合理化された認証により、ユーザーのフラストレーションが少なくなり、迅速にログインできます。
  • セキュリティ体制の強化: ユーザーが管理するパスワードがなければ、ハッキング対象となるパスワードは存在せず、あらゆる種類の脆弱性やデータ漏洩の主な原因が排除されます。
  • >総所有コスト (TCO) の削減: パスワードは高くつくものであり、ITスタッフによる継続的な監視とメンテナンスが必要です。パスワードを削除すると、パスワードを発行・保護・更新・リセットおよび管理する必要がなくなります。サポートチケットの量が減り、IT部門を解放し、より差し迫った問題に対処できるようになるのです。
  • IT管理と可視性: フィッシング、再利用、共有は、パスワードで保護されたシステムでよく発生する問題です。パスワードレス認証により、IT部門はアイデンティティとアクセス管理の完全な可視性を取り戻すことができます。

仕組み

名前が示すように、パスワードを使わない認証、つまりパスワードのない認証では、検証の要件として記憶されたパスワードを排除します。代わりに、ユーザーは次のようなより安全な方法でアイデンティティを認証します。

  • 生成されたワンタイムパスワード (OTP)
  • タップやプッシュを含むアプリベースのオプション
  • FIDO2セキュリティ・キー
  • 認証プロセスを完了するための生体認証

パスワードレス認証では、さまざまな認証および暗号化プロトコルが使われます。パスワードレス認証と従来の認証の重要な違いの1つは、従来の認証とは異なり、パスワードレス認証情報は固定されず、再利用されないことです。その代わりに各セッション開始時に新しい認証データが生成されます。

パスワードレス認証への移行

すべてのためのパスワードのアプローチからパスワードレスの未来に進むには、次のベスト・プラクティスを使って、一度に1ステップずつ実行します。

  1. ユーザーにとって使いやすい段階的なアプローチを採用します。1つのアクセスポイントまたはユーザー・グループから開始し、そこから展開して、ユーザにシステムを学習する時間を与えます。
  2. セキュリティと同様に利便性にも重点を置きます。認証方式が使いやすいほど、ユーザーはガイドラインに従う可能性が高まります。
  3. まず、弱い部分に強力な認証を適用します。従来の認証で最も脆弱なのはどこですか?そこから始めましょう。
  4. 目標から目を離さないでください。着実な改善が積み重なっていきます。
SecurIDによるパスワードレスの将来に備える

世界で最も広く導入されている多要素認証ソリューションはSecurIDです。SecurIDは、セキュリティに敏感な組織が社内とクラウドで信頼するアイデンティティ管理プラットフォームです。SecurIDが提供するもの:

  • クラウド/SaaSまたはウェブベースのアプリケーションやWindowsマシンにログインするためのFIDOキーなど、パスワードレスの幅広い認証オプション、プッシュ・トゥ・アプルーブ、指紋や顔の生体認証、「自分のオーセンティケータを持ち込む」、認証のゴールド・スタンダードを示すハードウェア・トークン
  • FIDO認証リーダーとのRSA Readyパートナー関係により、FIDOベースのパスワードレス・ソリューションとの簡単な相互運用性を確保
  • ビジネス・コンテキスト、デバイス属性、および動作特性に基づいてアクセスリスクを計算する高度なAIおよび機械学習によって通知されるリスク・スコアリングにより、認証を段階的に強化
  • パスワードに依存するワークフローを排除して、オンボーディング、認証情報リカバリ、および緊急アクセスのセキュリティを強化する保護されたセルフサービス認証情報管理オプション
  • 常にオンの強力な認証。99.99%の可用性を備えた常時接続の強力な認証機能と、WindowsおよびmacOS向けの独自の「ノー・フェイル」機能により、ネットワーク接続が中断された場合でも安全で便利なアクセスを実現