パスロジ株式会社が提供している「PassLogic」は、マトリクス表を用いたワンタイムパスワード方式の認証システムです。トークン不要のブラウザ認証のため場所を選ばず利用できるのがポイントでしょう。パスワードの自動発行機能がついているため、万が一パスワードを忘れてしまっても、新たなものをメールで通知してくれます。
| 参考価格 | 別途お問い合わせ | 無料トライアル | 〇（30日間無料） |
| 対応機能 | マトリクス認証、トークンレス |
ワンタイムパスワード製品の選び方
ここからは、ワンタイムパスワード製品の選び方を見ていきましょう。
ワンタイムパスワードの受信方法で選ぶ
発行されたワンタイムパスワードの受信方法はいくつか種類があるため、自社に合ったものを検討しなければなりません。方法としては、発行されたパスワードをメールやSMSなどで受信するケースもありますが、「専用トークン」と「スマホアプリ」での受信方法が注目されています。
- ■専用トークン
ワンタイムパスワードを生成する専用の電子機器を使ってパスワードを受信する方法。専用トークンを用いた認証方法は、インターネットバンキングなどで多く利用されている。トークン機器を所有しているかどうかが本人認証のポイントとなるため、なりすましを防止するうえで有効。利用者にトークンを配布する必要があるため、ユーザー数が少ない企業に向いている。
- ■スマホアプリ
スマホ用のアプリでワンタイムパスワードを生成してパスワードを受信する方法。専用トークンとほぼ同じ仕組みでワンタイムパスワードが生成される。専用トークンを配布する必要がないので、比較的導入が簡単。金融機関のほか、オンラインゲームやポータルサイトでも利用が広がりつつある。
ワンタイムパスワードの認証方式で選ぶ
ワンタイムパスワードには大きくわけて「時刻同期（タイムスタンプ）方式」「チャレンジ・レスポンス方式」の２種類の方法があります。
- ■時刻同期（タイムスタンプ）方式
- トークンを使って行われる方式で、時間を同期させることで認証を行う方式
・サーバはあらかじめユーザーとトークンの情報を保持
・サーバとトークンが同じ時刻に認証を行う
・設定された時間が経過すると発行されたパスワードは無効になる - ■チャレンジ・レスポンス方式
- 認証サーバから送られてきた文字列（チャレンジ）をもとに、ユーザーが適切な文字列（レスポンス）を返すことで認証する方式
・メールやSMSで使われることが多い方法
・パスワードは毎回変わるためワンタイムパスワードとして機能する
・認証サーバとのやり取りを行うため認証まで時間がかかる
ワンタイムパスワードの費用で選ぶ
ワンタイムパスワードを導入するためにはコストがかかります。そのコストはワンタイムパスワードの受信方法よって大きく異なるため注意しましょう。
またトークンを使う場合は配布コストが発生するため、利用者が多いと初期費用も大きくなります。またメールやSMSによる認証の場合は、通信環境を整備しなければなりません。個人のスマートフォンの利用を許可するか、専用の端末を社員に配布する必要があります。
導入製品にお悩みで、ひとまず最新の人気製品から検討してみたい、という方はこちらのランキングも参考にしてください。
ワンタイムパスワード の製品を調べて比較
資料請求ランキングで製品を比較！ 今週のランキングの第1位は？ play_circle_outline ワンタイムパスワードの注意点
ワンタイムパスワードを使えば確実に安全を確保できるわけではありません。どのような点に注意すべきか確認しておきましょう。
ユーザーが手間を感じサービスから離れる可能性がある
ワンタイムパスワードは安全性を高められますが、ユーザー側に手間が生じるデメリットがあります。慣れてしまえば簡単なワンタイムパスワードも、初めて触れる方にはハードルが高いでしょう。
ユーザーが使い勝手の悪さを感じれば、サービス離れが起きてしまうかもしれません。製品によっては、無料トライアルを提供しているものもあるので、使用感を確かめてみることをおすすめします。
またこれからワンタイムパスワードを導入する際は、事前告知や問い合わせ対応の環境整備が求められます。特にユーザー側のメリットを説明することが重要なポイントになるでしょう。
端末を紛失するとパスワードが漏れてしまう
受信するスマホやトークンなどの端末を紛失すると、パスワードが漏れる可能性があります。特にスマホでパスワードを受信する場合は、端末自体にパスワードをかけるとよいでしょう。
ほかにもスマホの通信が盗聴されることによってパスワードが漏れる恐れもあります。安全な認証のためには端末のセキュリティ対策も必要です。
端末がウイルスに感染していると効果が薄い
最も大きな影響となるのが、認証に使う端末がウイルスに感染しているケースです。この場合はワンタイムパスワードの効果は非常に低くなり、パスワード以外の情報も漏れかねません。
実際に起きたウイルスによる被害には、ネットバンキングの作業を不正操作され、見た目には問題がなくてもも裏で大きな被害に遭っているケースもあります。このような被害には「トランザクション署名」という認証方法を使うと有効です。
トランザクション署名とは、ネットバンキングの処理内容を暗号化したデジタル署名のことです。この方法を使えば、送金などの処理情報が改ざんされたとしても、サーバ側で確認できます。
最適なワンタイムパスワード製品を導入しましょう
ワンタイムパスワードは、サービスにログインする際の安全性を高める方法の１つですが、確実な認証ができるわけではありません。認証方法や費用のバランスを見て、適切なセキュリティ対策を行ってください。
最近では、クラウド型ワンタイムパスワード製品が主流となっていて、初期コストを抑えて導入できます。自社に最適なワンタイムパスワード製品を導入し、認証の安全性を高めましょう。
