ワンタイムパスワードとはどのような仕組みか
種類を追う前に、何を解決する仕組みなのかを押さえておきましょう。従来のパスワードとの違いを理解すると、方式ごとの意味も見えてきます。
ワンタイムパスワードの基本的な仕組み
ワンタイムパスワードとは、一度だけ有効な使い捨てのパスワードを使って本人確認を行う仕組みです。IDと固定のパスワードに加えて、その場で発行される数桁の数字を入力する形が一般的です。
発行された数字は、一定の時間が経過するか一度使われると無効になります。仮にその数字が第三者に知られても、有効な期間を過ぎていれば利用できません。IDとパスワードだけの確認に、もう一つの要素を加える手段として使われています。
固定のパスワードとの違い
固定のパスワードは、変更するまで同じ文字列が有効であり続けます。そのため、他のサービスから漏れた情報を使って次々と接続を試みる手口や、文字列を推測して繰り返し試す手口の対象になります。
ワンタイムパスワードは、有効な期間が短いことでこうした手口の効果を下げられます。ただし固定のパスワードを置き換えるものではなく、組み合わせて使う構成が中心です。固定のパスワード側の管理をおろそかにしてよいわけではない点は、利用者へ伝えておく必要があります。
生成方式による種類
数字をどのように作り出すかによって、いくつかの方式に分かれます。代表的な考え方を確認します。
時刻をもとに生成する方式
現在の時刻とあらかじめ共有した情報をもとに、一定の間隔で数字を作り出す方式です。三十秒や六十秒といった間隔で表示が切り替わり、その時間内であれば有効になります。
利用者は表示された数字を入力するだけでよく、操作が分かりやすい点が特徴です。一方、生成する側と確認する側で時刻がずれると認証に至らない場合があります。時刻のずれを一定の範囲まで許容する設定が用意されているのが一般的ですが、端末の時刻設定を確認する案内を用意しておくと問い合わせを減らせます。
回数や要求をもとに生成する方式
利用した回数を数えて次の数字を作り出す方式と、確認する側から提示された値をもとに数字を作り出す方式があります。前者は時刻のずれの影響を受けず、後者は要求ごとに異なる値を扱う仕組みです。
回数を数える方式では、利用者側と確認する側で回数がずれると認証できなくなる場合があり、ずれを直す手順を用意しておく必要があります。要求をもとにする方式は、専用の機器や画面での操作が加わるため、利用者への案内が欠かせません。どの方式に対応するかは製品によって異なるため、事前に確認しましょう。
受け取る手段による種類
利用者が数字をどう受け取るかによっても種類が分かれます。手段ごとに準備の手間と想定されるリスクが異なります。
専用の機器で表示する手段
キーホルダー型やカード型の小型機器を利用者に配布し、その画面に表示される数字を使う方法です。スマートフォンを持たない利用者にも配布でき、業務用の端末を私的な用途と分けたい場合にも使われます。
機器の購入費用と配布の手間が発生し、電池の寿命が来た際の交換も必要です。紛失した場合は利用を停止して再発行する手続きが求められます。人数が多い組織では、この管理の負担を見込んでおく必要があります。
スマートフォンのアプリで生成する手段
専用のアプリを利用者の端末に導入し、そこに表示される数字を使う方法です。機器を配布する必要がなく、費用を抑えやすい構成です。通信がつながらない場所でも数字を生成できる方式が多くあります。
一方で、私物の端末に導入してもらう場合は、社内規程での扱いを整理しておく必要があります。機種変更の際に設定を引き継ぐ手順も、あらかじめ利用者へ案内しておきましょう。端末を持たない従業員がいる場合は、別の手段との併用を検討することになります。
SMSやメールで受け取る手段
認証のたびに、携帯電話番号やメールアドレス宛へ数字を送る方法です。利用者が新たにアプリを導入する必要がなく、導入時の案内が簡単に済む点が特徴です。
ただし、送信先の電話番号やメールアカウント自体が第三者に渡った場合、数字も届いてしまいます。送信にかかる費用が件数に応じて発生する点や、電波の状況によって届くまでに時間がかかる場合がある点も踏まえて検討しましょう。扱う情報の重要度に応じて、他の手段と使い分ける判断もあります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でワンタイムパスワードの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
導入前に確認したい注意点
認証の手順が増えるため、利用者側で起こる状況への備えが欠かせません。検討段階で押さえておきたい点を二つ挙げます。
紛失や機種変更への備え
機器を紛失した、端末を機種変更した、アプリを削除してしまったといった状況では、利用者が認証できなくなります。業務に支障が出るため、復旧の手順をあらかじめ決めておく必要があります。
管理者が一時的に利用を停止し、確認のうえで再設定する流れが一般的です。本人確認をどのように行うかも定めておきましょう。手順が周知されていないと問い合わせが情報システム部門に集中するため、案内を用意し、複数人で対応できる体制にしておくことが望まれます。
手段ごとに異なるリスクの理解
どの手段を選んでも認証の安全性が同じというわけではありません。専用機器は本人が持ち歩く前提ですが紛失の可能性があり、アプリは端末そのものが安全に管理されていることが前提になります。
SMSやメールでの受け取りは導入しやすい一方、送信先が第三者に渡った場合の影響を考慮する必要があります。扱う情報の重要度と、利用者の環境を照らし合わせて手段を選びましょう。複数の手段を用意し、利用者や対象システムに応じて使い分ける構成も検討できます。
ワンタイムパスワードの選び方
ここまでの分類を踏まえ、実際に選ぶ際の確認事項を整理します。
対象システムと利用者の環境の整理
最初に、どのシステムに適用するのかを決めます。社外からのリモート接続なのか、業務システムへのログインなのか、クラウドサービスの利用なのかによって、対応できる製品が変わります。
あわせて、利用者の環境も整理しましょう。スマートフォンを業務で使える人がどの程度いるか、現場勤務で端末を持ち込めない職場があるかによって、選べる手段が変わります。人数に応じた料金体系を採る製品が多いため、対象範囲は費用の試算にも関わります。
既存の認証基盤との関係
すでに社内で使っている認証の仕組みと連携できるかを確認します。連携できれば、利用者の登録や削除を一か所で管理でき、入退社の際の作業を抑えられます。
対応するシステムやサービスの種類は製品によって差があります。適用したいシステムの名称を伝えたうえで、対応の可否と必要な作業を確かめておきましょう。判断が難しい部分は、情報システム部門やベンダーに相談しながら進めることをおすすめします。
費用体系とサポート範囲の確認
料金は、利用者数に応じた月額制、専用機器の購入費用、SMSの送信件数に応じた従量制など、手段によって考え方が異なります。数年単位の総額で比べると、手段ごとの差が見えやすくなります。
サポートについては、どこまで対応してもらえるのかを具体的に確かめます。管理者向けの窓口のみか、利用者からの問い合わせにも応じるのかは製品ごとに差があります。認証できない状況は業務に直結するため、緊急時の連絡手段と対応時間帯も確認しておきましょう。
ワンタイムパスワードを扱う認証基盤
企業の認証基盤に組み込める、ワンタイムパスワード対応の製品を紹介します。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、複数のクラウドサービスへの認証を一元管理できるサービスです。ワンタイムパスワードを含む多要素認証に対応しており、利用する業務システムごとにパスワードを管理する負担を抑えられます。企業の認証基盤として幅広い規模での導入に対応します。
PassLogic （パスロジ株式会社）
- 安全な認証環境を状況に合わせて構築
- 毎日のログイン作業を効率的に行う「シングルサインオン」
- トークンや専用の認証デバイスが不要
ワンタイムパスワード （ソフトバンク株式会社）
- 一時的なパスワードで不正ログインを防止します。
- クラウド対応で導入・運用が容易。
- 既存システム連携でセキュリティ強化を実現。
ワンタイムパスワードに関するよくある質問
導入を検討する担当者から寄せられることの多い質問と回答をまとめました。
- Q1： どの生成方式を選べばよいですか？
- 時刻をもとにする方式は操作が分かりやすく、広く使われています。時刻のずれが問題になる環境や、特定の要件がある場合は他の方式も候補になります。適用したいシステムが対応する方式を確認したうえで判断しましょう。
- Q2： スマートフォンを持たない従業員にはどう対応しますか？
- 専用機器を配布する方法や、SMSを受け取れる携帯電話を利用する方法が候補になります。複数の手段に対応する製品を選び、利用者の環境にあわせて使い分ける構成も検討できます。対象者の状況を整理してから相談しましょう。
- Q3： 導入すると不正なログインを防げますか？
- IDとパスワードだけの場合に比べてリスクを下げられますが、すべての手口を防げるわけではありません。利用者をだまして数字を入力させる手口も知られています。仕組みの導入とあわせて、利用者への注意喚起も行うことが望まれます。
- Q4： 導入までにどのくらいの期間がかかりますか？
- 対象システムの数や、専用機器の配布を伴うかによって幅があります。クラウドサービスにアプリ方式を適用する場合は短期間で始められる一方、複数システムへの適用や機器の配布を伴う場合は準備に時間を要します。具体的な期間はベンダーに確認しましょう。
まとめ
ワンタイムパスワードの種類は、生成の方式と受け取りの手段という二つの軸で整理できます。生成方式では時刻をもとにするものと回数や要求をもとにするものがあり、受け取り手段では専用機器、スマートフォンのアプリ、SMSやメールが選択肢になります。手段ごとに準備の手間と想定されるリスクが異なるため、対象システムと利用者の環境を整理したうえで選びましょう。紛失時の復旧手順もあわせて決め、まずは資料請求から検討を進めてみてください。
