リスクベース認証とは？その仕組みからメリット、デメリットまで徹底解説！

日ごろ皆さんが利用するSNSやショッピングサイトなど、多くのサービスが登場すると同時に重要視される様になっているのが 「セキュリティ」 です。 個人情報の漏洩や不正利用が問題視されており、WEBサービスを提供する側としても、セキュリティの高さをPRする機会が増えました。 そんなセキュリティにおける「認証」という仕組み。 ログインIDやメールアドレスとパスワード、場合によってはSMSでの確認が行われることもあります。 認証には様々な種類がありますが、近年、その一種として注目されているのが 「リスクベース認証」 という認証方法です。 聞いたことはあるけど、いまいち意味はわからない・・・という方が多いのではないでしょうか。 では、リスクベース認証とは一体なんなのでしょう。 この記事ではリスクベース認証の概要と実際の製品例、メリットデメリットについてご紹介します。

リスクベース認証とは

リスクベース認証とは ここでは、リスクベース認証とは何かを解説していきます。 リスクベース認証の説明に入る前に、そもそも「認証」とはどのような仕組みを指すのか、簡単に確認しておきます。 セキュリティにおいて「認証」とは、あるサービスの利用者が本人か否かを確認することを指します。 その仕組みは、利用者を識別するための情報(ID)と、それを確認するための情報(パスワード等)を組み合わせることによって成立するのです。 認証は一般に、「アクティブ認証」と「パッシブ認証」とに分かれます。 後述しますが、「リスクベース認証」は後者の「パッシブ認証」に分類されるタイプの認証です。

アクティブ認証

アクティブ認証とは、ユーザーの能動的な行動による認証です。 具体的には、パスワード等の特定の文字列の入力や、キャプチャ認証の読み取り、指紋や静脈といったバイオメトリクス認証などが、アクティブ認証に分類されています。 一般に、アクティブ認証は確実性が高いのが特徴であり、メリットだと言われています。 本来はユーザー本人にしか知り得ない情報であるIDやパスワード、本人しか読み取らせることのできない情報である指紋などを利用しているためです。 しかし、ユーザー本人が行動しなければならないため、手間がかかります。 皆さんも、サイトを訪れる度にログインを求められたり、設定しておいたパスワードを忘れてしまったりと、不便さを感じたことがあるかと思います。 面倒だが、確実。 それがアクティブ認証の特徴です。

パッシブ認証

そんなアクティブ認証に対して、「パッシブ認証」とは一体どのような認証なのでしょう。 アクティブ認証に対して「パッシブ認証」とは、その名の通り受動的な、つまりユーザーの特別な行動を必要としない認証です。 その代表例が、今回のテーマであるリスクベース認証です。 リスクベース認証とは簡単に言えば、 「ログインの仕方がいつもと違うから、ログインしようとしている人が本人かどうか、追加で認証を行う」 というものです。 たとえば、いつもは東京で日中にログインしている人が、急にブラジルから深夜にログインしようとしていたら、違和感がありますよね。 仮にIDとパスワードが一致していても、ここまで大きく変化があると、不正アクセスの可能性が高くなります。 そこで、本人しか知り得ないはずの情報をさらに追加で尋ねることによって、認証の確実性を高める認証が、リスクベース認証なのです。 パッシブ認証では、ユーザーは自ら行動するのではなく、システムが自動的に感知します。 そのため、ユーザーは手を取られることがありませんが、 「普段と違う端末、普段と違う国からのログインが必ずしも不正なログインか」 と言えば、そうではありません。 たまたま海外旅行に行ったさ時にログインしようとしただけなのかもしれません。 このような状況で、もしもログインできなくなってしまったら・・・。 サービスとしてかなり不便になりますし、ビジネスでの利用は難しくなります。 そのため、パッシブ認証は単体で使われる事が少ない認証方法なのです。

リスクベース認証の例と仕組み

それでは、リスクベース認証にはどのような種類があるのでしょうか。 代表的なものが「秘密の質問」を使ったものです。 ログインの仕方がいつもと違うとシステムが判断した場合に、ユーザー側に追加で「母親の旧姓は？」「通っていた小学校の名前は？」といった質問をします。 会員登録時に、こうした質問への回答を入力した経験のある方が多いのではないでしょうか。 これらの情報は、IDやパスワードといった情報とは異なり、改めて考えて覚えておくべきものではないため、ユーザーの利便性を大きく損なうことなく、認証を行うことができるのです。 また、追加の認証として「ワンタイムパスワード」を使ったものもあります。 例えば「イオンカード」の会員向けページである「暮らしのマネーサイト」へのログインの際には、普段と違う環境だと判断された場合、あらかじめ登録されたメールアドレスにワンタイムパスワードが送信され、それによって追加の認証を行う仕組みがあります。 様々なシステムでリスクベース認証は利用されていますが、中にはリスクベース認証そのものを提供しているサービスが数多く提供されています。 株式会社onetapが提供している「LOCKED」は、様々なシステムへのログインを一括管理するシステムで、リスクベース認証の仕組みも備えています。 ユーザーの行動履歴やデバイスの情報など、約50種の情報を用い、いつもと違う、リスクの高い場合にのみ、追加で認証を実施します。 国内の事業者のため安心感もあり、かなりの低コストで導入できると評価されています。 また、オープンソースのリスクベース認証ソフトとして、「OpenAM」というソフトも存在します。 「OpenAM」は本来、シングルサインオンを実現し、多要素認証による認証が可能な他、認証のみならず認可やフェデレーションにも対応可能と、豊富な機能を持った認証ソフトですが、リスクベース認証の機能も搭載しています。 オープンソースのため無料で利用可能、というのが大きく、有志によって日々改良が行われているため、信頼性も高く評価されています。

リスクベース認証のメリットとデメリット

リスクベース認証のメリットとデメリット そんなリスクベース認証において、メリットやデメリットとしてはどのようなものがあるのでしょう。

リスクベース認証のメリット

ユーザーの手間を軽減してくれる

リスクベース認証は、IDやパスワードの入力といった、ユーザーにとって手間となる動作を必要としません。 リスクベース認証に必要な情報として、ログインする度に時間や場所、デバイスやIPアドレスをユーザーが記録する必要はなく、システムの側で全てログとして保存してくれます。 同じ環境で毎回ログインして、同じように利用していれば、ユーザーは特に追加の質問を求められることもなく、認証を意識せずにサービスを利用することができるのです。

なりすましなど、不正アクセスの防止

SNS等で用いられている情報は、住所や氏名、電話番号といった個人情報をはじめ、口座の情報などのお金に関する情報まで、自分以外の人間に見られたり、利用されたりしたら困る情報ばかりです。 SNSでもECサイトでも、他人になりすまして、不正に情報にアクセスするという事件は後を絶ちません。 リスクベース認証は、そうしたなりすましを防ぐ手段の一つであると言えます。 パスワードのみで認証を行う場合、極端な話、総当たりで試して偶然ログインできてしまう、という可能性も否定できません。 しかし、認証にたまたま成功したとしても、「ログインしてる場所がいつもと違うから追加で質問してみよう」、と何重にも予防線を張っておくことで、なりすましを防ぐことができるのです。 仮にIDとパスワードが漏洩したとしても、秘密の質問が漏洩せずに(ユーザーの頭の中に)残っていれば、なりすましの防止が可能なのです。 少し前に話題になりましたが、今はSNSで多くの人が情報を開示していたりします。 利用しているSNSによっては、メールアドレスが公開になっているものや、誕生日が表記されているものなど、明確な規制が設けられていません。 そのため、それらの公開されている個人情報からID/パスワードを推測されてしまうという危険性があるのです。 こういった攻撃に対してもリスクベース認証は有効なのです。

リスクベース認証のデメリット

ユーザーの手間がかからずにセキュリティが強くなる、という大きなメリットを持つリスクベース認証。 そんなリスクベース認証にも、デメリットは存在します。

導入や運用にかかるコスト

当然のことですが、新しい機能をシステムに導入すれば、それ相応のコストがかかります。 リスクベース認証は、IDとパスワードといったアクティブ認証に使われる情報だけでなく、「秘密の質問」のようなさらなる情報を保存する必要があります。 また、リスクベース認証では「いつもと違う」という挙動の検知が肝となるため、その「いつも」の情報を保存しておく必要があるのです。 ログイン日時やIPアドレス、場所、ログイン操作を行ったデバイスなどの情報がそれにあたりますが、これらはユーザー毎にログインの都度保存していかなければならないため、膨大な量に上ります。 大きな情報を保存するだけの容量と、先ほどご紹介した認証サービスの導入や整備にかかるコストが、リスクベース認証を導入する際の大きなデメリットと言えるでしょう。 そのため現在では、リスクベース認証は、ECサイトや金融機関など、重大な情報を扱う大規模なサービスで主に利用されています。

「秘密の質問」を忘れてしまうと、ログインできなくなる

なりすましではなく、本人がいつもと違う環境でログインしたい、という状況は十分想定できます。 例えば、出張や引っ越しなどで今までと違う場所からログインしたり、いつも使っているパソコンが故障したためスマートフォンでログインしたり、といった状況です。 そんな時、リスクベース認証が働いて、追加で「秘密の質問」を求めることがあるでしょう。 一般に、「母親の旧姓」といった「秘密の質問」の回答を忘れてしまう可能性は、パスワード等に比べれば低いと言えますが、それでも0ではないでしょう。 また、同じ質問に対しても、 ・漢字で答えたか ・ローマ字で答えたか ・ひらがなで答えたか など、表記方法を明確に覚えていないケースもあります。 「秘密の質問」に答えられない場合は、メールやSMS等による情報の再設定を行う仕組みを活用したり、管理者に問い合わせるといった対応が必要になる場合があります。 リスクベース認証の導入を検討する際は、メリットだけでなく、こうしたデメリットを考慮する必要があるでしょう。

企業のリスクマネジメントはAMELAに相談を

企業のリスクマネジメントはAMELAに相談を 今回は、リスクベース認証について見てきました。 認証方法は、スマホやPCが常にネット上に接続されている現代では、非常に重要な事の1つです。 特に企業においては、 個人情報をいかに守るのか 社内の情報をいかに守るのか が長期的にビジネスを続ける上で、最も重要と言えるでしょう。 もしも現在、御社のセキュリティに関して不安がある場合などは、是非ご相談ください。 費用もかかることですので、 「どこを優先的にセキュリティ強化するのか」 「どの程度の強化をするべきか」 は、企業毎に変わってきます。 経験豊富なITコンサルタントが、しっかりと現状を把握した上で、御社に最適な提案をいたします。