個人認証に「完ぺき」はない 複合活用に現実解企業セキュリティ古今東西(1/2 ページ)

重要な情報資産を守るため、入退室や機器利用の際に利用者本人かを特定する個人認証「バイオメトリクス(生体)認証」が本格的な普及期に入ってきている。バイオメトリクス認証を含む個人認証の特徴と現状の課題をまとめた。

» 2007年12月13日 07時00分 公開
[荒木孝一(エースラッシュ),ITmedia]

このコンテンツは、オンライン・ムック「運用管理の過去・現在・未来」のコンテンツです。関連する記事はこちらでご覧になれます。




 企業内の個人情報を悪意ある第三者から物理的に守るためには、各部屋への入室や機器の使用などにおいて、利用者本人をいかに特定するかが重要となる。たとえどんなに強固なネットワークセキュリティを導入していても、第三者による侵入や機器の操作を許してしまっては意味がない。

 そこで利用されるのが、利用者本人かどうかを判定する個人認証技術だ。個人認証の方式は大きく「知識認証」「所有物認証」「バイオメトリクス認証」の3種類に分けることができる。それぞれを個別に解説していこう。

パスワードが広く普及する知識認証

 まず知識認証は、個人が持つ“知識”を基に本人確認を行うもので、その代表といえるのが一般に広く普及しているパスワードだ。知識認証におけるメリットは導入が容易なことであるが、一方で、脆弱性はほかの認証方式よりも高めといえる。例えばパスワード自体が短かったり、意味をなす単語が使われていたりした場合、入力可能な文字の組み合わせを片っ端から試していく「総当たり攻撃」や、辞書にある単語を多様なバリエーションで入力する「辞書攻撃」により突破されてしまう。

 また、クラッキングツールによる攻撃だけでなく、パスワードを盗み見られる「ショルダーハッキング」の被害に遭ったり、氏名や誕生日など個人がパスワードに使いそうな情報から割り出されてしまったりするケースもある。たとえ第三者による推測を恐れてランダムな文字の羅列を設定しても、本人が記憶できずディスプレーにメモを貼り付けるといった「本末転倒」の結果になりかねない。

 ハードウェアトークンなどを用いて、時間経過や使用するたびに毎回異なる「ワンタイムパスワード(OTP)」を生成する方法も存在する。しかし、紛失や盗難時を考えると、やはり本人を特定する手段としてはまだ不十分といえるだろう。

入力や記憶が必要ない所有物認証

 また、所有物認証はICカードやUSBキーなど、個人の特定情報を含む機器を使った認証方式だ。銀行のキャッシュカードをはじめ、近年では入退室管理用の非接触式ICカードも普及している。所有物認証のメリットは、パスワードのように記憶や入力の手間が必要ないこと。カードリーダへの挿入、PCへの接続、非接触の場合はリーダに通過させるだけで認証が行える。さらに、パスワードより多くの特定情報が使え、セキュリティ向上につながるのも特徴だ。しかし機器に依存しているため、どうしても紛失や盗難の危険性は避けられない。そこで、パスワードと併用されることが多くなっている。

       1|2 次のページへ

Copyright © ITmedia, Inc. All Rights Reserved.

注目のテーマ