二段階認証の意味を問う 「7pay事件」を教訓に見直したい認証のハナシ：今さら聞けない「認証」のハナシ（3/5 ページ）

[鳥羽信一，ITmedia]

オープンID連携の不備

　オープンIDは、サービス間でIDを共有するために定められた規格です。1つのIDで複数のサイトにログインできる仕組みで、皆さんも新規サービス登録画面にGoogleやFacebook、Yahoo!JAPANなどのロゴが表示されたボタンが設置されているのを見たことがあるでしょう。

　そのボタンから、オープンIDに対応するIDを発行する「オープンIDプロバイダ」のサービスにログインすることで、新規サービスにログインしたり、名前や住所、生年月日といった必要項目の入力負担を減らしたりすることができます。

　セブン＆アイは7月11日、セブン-イレブンアプリなど同グループが提供するアプリで、オープンIDでのログインを停止しました。オープンIDの連携部分で不備があった可能性があります。

• ［独自記事］7pay不正利用問題、「7iD」に潜んでいた脆弱性の一端が判明」（日経 xTECH）

　Webで利用できる「オムニ7」のサイトでの7iDへのログインは、まだオープンIDを利用できる状態です。オープンIDとの連携部分に不備があったのだとしたら、それは各アプリとの連携部分のみなのか、それとも7iD全体との連携部分なのか。これもまだはっきりとしていません。もし7iD全体との連携に不備があるなら、各アプリを使用していなくても、7iDに登録している情報が7payのサービス開始前から漏えいしている可能性があります。

　オープンIDを利用して認証する際には、フィッシングサイトに注意しましょう。各サービスの認証用ボタンを押して表示されたページが、フィッシング用のページであることに気付かずにIDとパスワードを入力してしまうと、その情報が盗まれてしまいます。「SMS認証があるから大丈夫」と思っていても、1回目の入力でフィッシングページを表示し、ID&パスワードを入力させて情報を詐取した後に、正規のページを表示し、通常の認証をさせるフィッシングも報告されています。

　有名なサービスのサイトであれば、サイトが乗っ取られていない限り、このようなことは発生しないと思いますが、新しいサービスや「○○診断」のような、ちょっとしたテストやゲームを楽しむサービスなどを利用する際には気を付けたほうがいいでしょう。

「二段階認証」とは？

　7月7日のセブン＆アイの緊急記者会見を機に、二段階認証が一気に話題になりました。一部報道で、「サービスを利用開始するときにSMSやメールで送られるメッセージに書かれたパスコードを入力したり、URLをタップしたりする作業」自体を二段階認証だと紹介していたようですが、これは誤りです。

　この作業は、IDや連絡先として登録している電話番号やメールアドレスが、本当に本人が使用しているものなのかの確認であって、認証ではありません。この作業をしてアカウントを登録した後、パスワード認証のみでログインできるサービスはいくらでもあります。そういったサービスは「二段階認証を導入している」とはいえません。

　この作業を行ってアカウント登録した上で、ログインや一部の機能を使用する際に、パスワード認証に加えてSMSやメールのメッセージでも認証を行えば、それは二段階認証です。

　上記の例では「パスワード＋SMSもしくはメール」で説明しましたが、もちろんこの組み合わせでなくても構いません。例えば「パスワード＋事前登録してある特定の端末」などがあり得ます。1段階目と２段階目で認証要素が異なる二要素認証の方が、より強固です。

　スマホアプリにおける2段階目の認証にSMS認証を採用することが今のトレンドです。その理由は、スマホ利用者の大半は電話番号を持っており、SMSを利用できるからでしょう。