ID・パスワードだけじゃダメなんですか～

多要素認証やリスクベース認証から生体認証までを用途に応じて使い分ける方法を解説～

株式会社 ムービット
1

会社概要

社名

株式会社ムービット

設立

1995年12月8日

所在地

東京都北区王子1－28－6

主な製品

Powered BLUE シリーズ

アプライアンスサーバー ( Linux )ソフトウエア開発

3

ダークWeb

ダーク・Web

サーフェス・Web

特定のソフトでアクセス

一般的なブラウザでアクセス

6

ダークWeb / データやアクセス権の売買■ 医科系大学へのアクセス権999ドル■ 米国有力企業へのアクセス権
1万ドル■ ランサムウエアのサービス
900ドル

2020/9/5 日本経済新聞

7

Twitter メールアカウント漏洩

出展2023-01-07 Mynavi

9

某

ファイル交換サイト

480万件ID漏洩

2019年1月

ID

メールアドレス

Passwd 生のパスワード
生年月日・性別・職業 …
11

パスワードやメールアカウント流出チェックサイト
https://haveibeenpwned.com/②①① パスワードを入力② pwned ? を押す
Oh no --- pwned !
残念でしたGood news — no pwnage
found!
大丈夫13

リスト攻撃172022年

不正ログインなどの事案

2022年3月「ふるさと納税サイト」 600万回の「リスト型攻撃」で被害、2000件超の個人情報流出か
2022年5月「看護roo!」 に「パスワードリスト型攻撃」、1,877件のアカウントでポイントの不正使用を確認
2022年6月
フリマアプリ 「SNKRDUNK」 に不正アクセス、275万件の顧客情報が流出した可能性
2022年6月「honto」も「リスト型攻撃」を確認、電子書籍サービスで被害続出
2022年7月「読売新聞」のサイトに不正アクセス 個人情報流出の可能性
2022年7月「サンドラッグ」／ECサイトと顧客サイトに「リスト型攻撃」による不正ログイン
2022年8月
中古販売の「ハードオフ」で会員6,186件の情報流出 公式アプリに不正ログイン発生
2022年9月「ニトリアプリ」に不正アクセス、「リスト型攻撃」で約13万件強の顧客情報が閲覧された可能性
2022年10月「スクエニ」、FF14への「リスト型攻撃を検知」 パスワード強制リセットの可能性も認証情報の再設定を呼び掛け
18

多要素認証が必要とされる背景■

リモートワーク
社員の自宅や出先からのアクセス対応■

ID・パスワードの窃取対応■

安全を担保できる仕組みが多要素認証（MFA）

19

Google やSalesforce

多要素認証■ Google社は「Googleアカウントの二要素認証を自動的に有効化」■ SalesforceはMFAの必須化

20本人確認の認証方法

強度

認証

主な特徴

●知識認証

本人が知っている事項で認証

ID/Passｗｄ
暗証番号●所有物認証

本人が所有している物で認証

電子証明書
セキュリティ・トークン
ワンタイムパスワード・トークン
スマートフォン （2経路認証）●生体認証

本人の生物学的な要素で認証

指紋認証
虹彩認証
静脈認証
顔認証

*

複数の認証の組合せ運用も可能

22

主な認証方式

利用時のポイント

認証メソッド特徴

ID/パスワード認証

パスワードの使いまわし

SMS認証

送信ごとに課金される（運用者側）

漏洩している可能性ありエリア外だと受信できない
アクセス毎にワンタイムパスワードの入力が必要
ワンタイムパスワード認証

無償のソフトウエアトークンが利用できる
アクセス毎にワンタイムパスワードの入力が必要

画像認証

指定の画像を選択させる

SSLクライアント認証

SSLクライアント証明書を配布する必要がある

生体認証

認証器を用意する必要がある
24

SMS認証

スマートフォンの番号に通知

25

ワンタイムパスワード認証

ソフトウエア・トークン

26

ワンタイムパスワード認証

メール通知の例

27

画像認証

28

SSLクライアント認証■ SSLクライアント証明書■ SSLサーバー証明書
29

SSLクライアント認証例

証明書

有効

スマートフォン

証明書なし・失効

30

FIDO2 / （ファイドツー■ 生体認証Web）

利用 してに ログイン できる 標準規格
を⇒ブラウザでWebへアクセスする際の生体認証の規格■ FIDO2 の 大きなユーザーメリット は

ハード・ソフト が 対応済
31

FIDO2 / 対応の機器■ Windows 10 / 11 / Mac / アンドロイド携帯■ブラウザ■ iOS■生体認証器（USB）

32

生体情報の保護

FIDO2公開鍵暗号方式（公開鍵・秘密鍵）で通信
生体情報は外部へ漏洩しない

33

生体認証

FIDO2 対応

スマートフォン

指紋認証や顔認証

34

生体認証

FIDO2対応

指紋認証器

35

指紋登録方法-1
１）サインインオプション

２）セキュリティキーを選択

37

指紋登録手順38

指紋登録手順39

生体認証 Webへのパスワードレス・アクセス①

iPhone / iPad / Android でのアクセス②

パソコンでのアクセス

40

Yahoo

かんたんログイン生体認証の案内メール

2022/5/26 受信のメール

FIDO2

42

多要素認証は面倒■

毎回のアクセスでA）ID / Passwd＋B）他の認証の入力が面倒■

商用のサイトなどでのユーザー離脱を招く

43

リスクベース認証

１）基本

ID/Passwd 認証２）追加の認証
従来のアクセスパターンと異なる

45

リスクベース認証

パラメータ

前回のアクセスとの比較

経過時間
各種情報

IP アドレス

社内
社外

位置情報

市内
県内
国内
国外

時間帯

平日日中
休日夜間

デバイス

スマートフォン
PCタブレットOSやブラウザ種類
バージョン
46

SMS認証は安全か

Google では？

SMS認証 は 使用可能

Salesforce では

SMS認証 の 利用禁止 47

SIMスワップ

電話番号の変更が簡単

48

Google SMS 非推奨へ

2022/5/17

CNET Japan

50

画像認証

CAPTCH は 有効？

51

リスクベース認証

多要素認証の組合せポイント

認証メソッド特徴

ID/パスワード認証

基本●SMS認証SIMスワップで電話番号を変更＆不正取得●ワンタイムパスワード認証

無償のソフトウエアトークンが利用できる
メール通知でのワンタイムパスワード認証も可能●画像認証

本人確認ではない（人間が操作しているかの判別）●SSLクライアント認証

SSLクライアント証明書の端末を認証●FIDO2 生体認証

第三者が複製しにくい

55

リスクベース認証

１）基本

運用パターン

ID/Passwd 認証２）追加の認証
ワンタイムパスワード

メール通知

56

リスクベース認証の導入を検討したい

Webサイトhttps://www.mubit.co.jp/sub/contact/call.html

57