ワンタイムパスワードとは何か
ワンタイムパスワードとは、ログインや取引の都度発行され、一度使うと無効になる使い捨ての認証コードです。まずは基本的な定義と、固定パスワードとの違いを確認します。
使い捨ての認証コードであること
ワンタイムパスワードは、決められた有効時間内、または1回の認証にのみ利用できるコードです。数字を中心とした4桁から8桁程度の組み合わせで構成される場合が多く、発行のたびに異なる値になります。
この仕組みにより、コードが第三者に見られたとしても、有効期限が過ぎれば意味を持たなくなります。固定パスワードのように長期間同じ文字列を使い続けないため、使い回しによるリスクを抑えられる点が特徴です。金融機関のオンラインバンキングをはじめ、企業の社内システムへのリモートアクセスなど、幅広い場面で活用されています。
固定パスワードとの役割の違い
固定パスワードは利用者本人が記憶して繰り返し入力する認証情報です。一方でワンタイムパスワードは、その場限りの追加認証として使われる位置づけです。
多くのサービスでは、ID・パスワードによる認証に加えてワンタイムパスワードを組み合わせる二要素認証の形で運用されています。単独で使うよりも、既存の認証と組み合わせることで認証の層を厚くする役割を担います。知識情報であるパスワードと、所持情報であるトークンやスマートフォンを組み合わせることで、異なる種類の要素を重ねた認証になる点が特徴です。
ワンタイムパスワードの主な仕組み
ワンタイムパスワードにはいくつかの生成方式があります。ここでは代表的な2つの仕組みを取り上げ、それぞれの特徴を整理します。
時間の経過に応じて生成される方式
一定の時間間隔でコードが自動的に切り替わる方式です。時刻同期型と呼ばれ、サーバー側と認証アプリやトークン側が共通のアルゴリズムを用いて、同じ時刻情報を基にコードを生成します。
この方式では、30秒や60秒といった短い間隔でコードが更新される場合が多くあります。利用者は表示されている数字を入力するだけでよく、通信環境がなくてもアプリやハードウェアトークン上でコードを確認できる点が利点です。サーバーとトークンの時刻がずれると認証に失敗する場合があるため、定期的な時刻補正の仕組みを備えた製品も見られます。
操作のたびに生成される方式
ボタン操作やログイン試行など、特定のイベントをきっかけにコードを生成する方式もあります。イベント同期型と呼ばれ、利用者が操作するたびに新しいコードが発行される仕組みです。
この方式は、コードの有効期限を意識せずに、必要なタイミングで発行できる点が特徴です。一方で、コードを生成してから入力までの間に別の操作を挟むと、サーバー側で管理しているカウンターとずれが生じる場合があります。この場合は、再同期の手続きが必要になることがあります。時刻同期型と比べて、利用者が操作を起点にコードを確認できる点が異なります。
ワンタイムパスワードの受け取り方法
ワンタイムパスワードは、複数の手段で利用者に届けられます。それぞれの受け取り方法には特徴があり、業務の使い方によって向き不向きが分かれます。
SMSやメールで受け取る方法
登録済みの携帯電話番号にSMSでコードを送信する方法や、メールアドレス宛に送信する方法があります。専用のアプリやハードウェアを準備しなくても利用できる手軽さが特徴です。
ただし、電波状況や通信の遅延によってコードの受信が遅れる場合があります。また、SIMカードの不正な切り替えなど利用者側の端末や回線に起因するリスクも指摘されています。そのため、他の方式と組み合わせて運用するケースもあります。導入するサービスの利用者数が多い場合は、送信件数に応じた費用が発生する点もあわせて確認しておくとよいでしょう。
専用アプリやトークンで受け取る方法
スマートフォンの認証アプリや、専用のハードウェアトークンにコードを表示させる方法です。通信ネットワークに依存せずコードを生成できる場合が多く、オフライン環境でも利用しやすい方式です。
ハードウェアトークンは携帯や紛失時の再発行に手間がかかります。一方でアプリ型は、複数のサービスを1つの端末でまとめて管理しやすいという特徴があります。従業員数が多い組織では、端末の配布や紛失時の対応手順をあらかじめ整えておくことで、運用開始後の問い合わせ対応の負担を軽減しやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて機能や特徴をさまざまな製品で比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でワンタイムパスワード製品の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
ワンタイムパスワードを導入する意義
固定パスワードのみの認証には限界があるといわれます。ここでは、ワンタイムパスワードを取り入れる意義を、想定されるリスクの観点から整理します。
パスワードの使い回しに起因するリスクへの対応
複数のサービスで同じパスワードを使い回している場合を考えます。どこか1つのサービスから情報が流出すると、他のサービスでも不正ログインを試みられる可能性があります。この手口はリスト型アカウントハッキングと呼ばれます。
ワンタイムパスワードを組み合わせておくと、パスワードのみが流出した場合でも、追加の認証コードがなければログインが成立しません。固定パスワード単独の運用と比べて、不正利用のハードルを上げられる点が意義といえます。
解析ツールによる推測への対応
単純な文字列や短い桁数のパスワードは、解析ツールを使った総当たりの試行によって突破される場合があります。この手口はパスワードクラックと呼ばれ、辞書に登録された単語や組み合わせを機械的に試すものです。
ワンタイムパスワードは有効期限が短く、都度異なる値が発行されるため、解析ツールで事前に候補を用意しておく攻撃とは相性が悪くなります。認証の突破に必要な手間や時間を増やせる点が特徴です。
導入前に確認しておきたいポイント
ワンタイムパスワードを導入する際は、利便性と管理面の両方を確認しておくことが重要です。ここでは代表的な確認事項を整理します。
利用者の操作負担を確認する
認証のたびにコードを確認して入力する手間が発生するため、利用頻度が高い業務では操作負担が増える場合があります。導入前に、実際の業務フローに合わせて操作回数や所要時間を確認しておくとよいでしょう。
アプリ通知をタップするだけで認証が完了する方式など、入力の手間を減らせる仕組みを備えた製品もあります。利用者の環境や業務内容に応じて、負担の少ない受け取り方法を選ぶことが求められます。既存の業務システムとの連携方法によって設定作業の内容が変わる場合もあるため、事前に確認しておくと安心です。
運用管理の体制を確認する
トークンの紛失時の再発行手順や、時刻のずれによる再同期など、運用中に発生し得る対応を事前に決めておく必要があります。管理者側の負担も考慮した体制づくりが求められます。
あわせて、生体認証やスマートフォンの通知承認を組み合わせた認証方式など、複数の選択肢を比較しておくとよいでしょう。自社の運用体制に合った形を選びやすくなります。問い合わせ窓口の対応時間や、管理画面から一括で利用者を管理できるかといった運用面の使いやすさも、比較検討する際の判断材料になります。
ワンタイムパスワードを利用できる認証サービス
ワンタイムパスワードによる認証機能を備えた製品の中から、多要素認証や利用者管理の仕組みを提供するサービスを紹介します。自社の運用体制に合う製品を比較する際の参考にしてください。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ワンタイムパスワードによる多要素認証に対応したID管理・シングルサインオン基盤です。時刻同期型のワンタイムパスワードやスマートフォンアプリへのプッシュ通知など、複数の認証方式を組み合わせて利用できます。社内システムやクラウドサービスへのログインを一元的に管理できる点も特徴です。利用者ごとのアクセス権限設定や、管理画面からのアカウント一括管理にも対応しており、運用担当者の負担軽減につながる機能が備わっています。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、企業内の各種システムへのアクセスを一元管理する認証基盤です。ワンタイムパスワードを含む多要素認証機能を備えています。既存のディレクトリサービスと連携した利用者管理や、システムごとのアクセス制御を実現できる点も特徴です。オンプレミス環境での運用を想定した構成にも対応しており、社内の情報システム部門が管理しやすい仕組みが用意されています。
ワンタイムパスワード （ソフトバンク株式会社）
- 一時的なパスワードで不正ログインを防止します。
- クラウド対応で導入・運用が容易。
- 既存システム連携でセキュリティ強化を実現。
PassLogic （パスロジ株式会社）
- 安全な認証環境を状況に合わせて構築
- 毎日のログイン作業を効率的に行う「シングルサインオン」
- トークンや専用の認証デバイスが不要
ワンタイムパスワードに関するFAQ
ワンタイムパスワードについて、よく寄せられる疑問をまとめました。導入を検討する際の参考にしてください。
- Q1：ワンタイムパスワードだけでログインは安全になりますか。
- ワンタイムパスワードは認証の安全性を高める手段の1つですが、これのみですべてのリスクに対応できるわけではありません。端末の紛失や不正なアプリのインストールなど利用者側の要因、通信経路や連携先のシステムに起因する要因も考えられるため、複数の対策を組み合わせることが有効です。
- Q2：ワンタイムパスワードが届かない場合はどうすればよいですか。
- 通信環境の遅延や、登録している電話番号・メールアドレスの誤りなど、複数の要因が考えられます。サービス提供元の再送機能を利用するか、別の受け取り方法に切り替えられるか確認するとよいでしょう。
- Q3：ワンタイムパスワードの有効期限が切れたらどうなりますか。
- 多くの場合、有効期限が切れたコードは無効となり、再度新しいコードの発行を求められます。時間の経過に応じて生成される方式では、表示が更新された最新のコードを入力することで対応できます。
まとめ
ワンタイムパスワードとは、使い捨てで発行される認証コードであり、固定パスワードと組み合わせることで認証の安全性を高める仕組みです。生成方式や受け取り方法にはいくつかの種類があり、業務の使い方に応じた選択が重要です。導入時は操作負担と運用管理の両面を確認しておくとよいでしょう。
