携帯さえあればIDとパスワードが不要に──ソフトバンクBBの「SyncLock」（1/2 ページ）

[園部修，ITmedia]

　PCの画面に表示された4ケタの数字を、携帯電話で専用Webページに入力するだけでユーザー認証が完了する──。そんな今までありそうでなかった興味深い認証システムをソフトバンクBBが発表した。ソフトバンクBBの「SyncLock」は、携帯電話を本人認証の鍵として活用する独自の認証システムで、今回はさらにWebアクセス認証に対応するシステムを追加した。

　SyncLockは、PCなどの画面にランダムに表示される4けたの“シンクロ番号”を、携帯電話から入力してシンクロサーバに送信し、シンクロサーバでPCなどと携帯電話による2経路複合認証を行うシステム。複製や偽造が不可能で、常にオンラインで管理されている携帯電話（端末）を鍵の替わりに利用するため、IDやパスワードなどを用いることなく、安全で確実な本人認証が行える。

　携帯電話を登録しておけば、SyncLockを採用したあらゆるWebサービスへ4けたの数字を入力するだけでアクセス可能で、複数のIDやパスワードを管理する手間がなくなる。

「SyncLock」のしくみ

インターネットには確実かつ安全、簡単、低コストな認証のしくみが必要

ソフトバンクBB 認証メディア事業戦略室 室長の中島啓一氏

　SyncLockのしくみを説明したソフトバンクBB 認証メディア事業戦略室 室長の中島啓一氏は「インターネットはとても便利になった反面、さまざまな負の部分も見え始めている。その1つの原因として、ユーザー認証をIDとパスワードに頼りすぎていることが挙げられると思う。通信技術は日ごとに発達しているが、認証分野だけは石器時代のようなものをまだ使っている」と話し、サービスやサイトごとにIDとパスワードが存在することが、覚えきれないIDやパスワードの管理を煩雑にさせ、盗用などの問題に結びつくとの考えを示した。

　覚えておけないIDやパスワードは、結局紙に書いたりしておくことになる。しかし、こうした管理方法では紛失・盗難に遭う可能性も高く、しかも盗まれてもそれに気づかない場合すらある。

　「インターネットには、確実かつ安全、簡単、低コストな認証のしくみが必要だ。SyncLockは、そこで大きな役に立てると思う」（中島氏）

SyncLockの認証が、簡単ながらも安全な理由

　SyncLockを利用するには、各種サービスを提供するサイトがSyncLockを導入している必要があるわけだが、SyncLockが導入されたサイトでは、非常に簡単かつ安全にユーザー認証が行える。ユーザーは事前に自分の携帯電話をSyncLockに登録し、SIMの情報を基にした一意の「Key ID」を取得しておけばいい。

　認証時は、まず認証画面でKey IDを入力する。するとPCから「シンクロサーバ」に認証請求が行われ、シンクロサーバは認証請求元を判別して、サーバに登録された正規の請求元だった場合は4ケタの数字を発行する。次にユーザーは携帯電話からあらかじめ告知されているシンクロサーバのURLにアクセスし、PCで表示された4ケタの数字を入力する。PC側の数字と携帯側の数字が一致すれば、ユーザーを認証してサービスにアクセスできるようになる。

デモは実際のサービス提供も予定されている「書留ぽすと」というサイトで行われた。左のログイン画面で、Key IDを入力すれば認証に移行する。認証中は画面に4ケタの番号が表示されるが、操作は一切行えない。携帯電話側で4ケタの数字を入力するとログイン後の画面に切り替わる

携帯電話側は、まず携帯電話をチェックしてKey IDが有効であるかどうか確認。開始ボタンを押すと数字の入力画面が開く

　SyncLockが安全な理由は、前述の通り2経路複合認証を行う点にある。Webサイトを閲覧しているPC（ブラウザ）と携帯電話という、2つの別々に管理された鍵によってロックを解錠する必要があるのだ。2種類の異なる鍵を使わないとアクティベートしないので、「しくみとしては核ミサイルの発射ボタンと同じ」と中島氏は言う。

　またシンクロサーバは、偽のサービスサイトとは通信を行わないため、フィッシング詐欺サイトではそもそもSyncLockが利用できない。仮にKey IDを盗まれたとしても、登録された携帯電話がなければ認証できないため、深刻な影響はない。SyncLockによる認証中は、PC側にはパスワードや入力インタフェースがまったく現れないため、キーロガーなどを使ったハッキングやDoS攻撃も不可能だ。鍵穴が現れないので、偽の鍵を差し込もうにもそれができない。

　しかもやり取りする情報はそのつど変わる4ケタの数字だけで、そのほかの認証情報はネットワークには流れない。通信が暗号化されていなくてもまったく問題がないわけだ。

　「従来の方法でセキュリティを向上させようと思うと、どうしても手続きが煩雑になる。しかし、SyncLockなら使い慣れた携帯電話が使え、メールを作成して送るより簡単な操作で認証ができる」（中島氏）

　さらにSyncLockでは、鍵の1つに携帯電話を用るために、「なくしたり、盗まれたりしたときにはすぐに気が付くというメリットもある」と中島氏は話す。携帯電話は、キャリアに連絡するだけでサービスを止めて回線をロックできるので、紛失したときにサービスサイトで利用停止の手続きなどをしなくても、SyncLockの不正使用が防げる。携帯電話自体にはSyncLockに関する重要な情報は入っていないため、安全性も高い。

SyncLockには、重要情報が露出しない、2種の鍵を組み合わせて初めて動作する、PC側に入力インタフェースがなく、ハッキングされる心配がないなどの特徴がある

しかも携帯電話は、なくした場合などにはすぐにロックでき、鍵が“重要なもの”という意識をユーザーが持っているという、セキュリティ上重要な要件を満たすデバイス。それでいて専用ハードウェアなどが不要で、導入しやすい