認証： 強力でセキュアなアクセス管理ガイド
不正アクセスから組織を守ることについて心配がありますか？ ゼロトラストアーキテクチャを導入しますか？ どのような目標であれ、認証は成功に欠かせません。
強力な認証の重要性、手元にあるオプション、そしてEntrustがどのように御社のビジネスを将来に備えることができるかをご覧ください。
認証とは
米国国立標準技術研究所（NIST）は、認証 を、情報システム内のリソースへのアクセスを許可するための前提条件として、ユーザまたはデバイスの身元を検証するプロセスと定義しています。
もっと簡単に言えば、誰か（あるいは何か）が、その人が主張する通りの人物であることを確認する方法です。 したがって、認証は、権限のないユーザやマシンが保護された資産にアクセスできないようにするためのセキュリティ対策です。
認証と承認
「不正アクセス」という用語は、認証方法を論じるときに特に関連します。 密接に関連してはいますが、「承認」の定義は著しく異なっています。
具体的には、承認とは、認証されたユーザーに特定のリソースや機能へのアクセス許可を与えるプロセスです。 これは重要な違いです。なぜなら、認証されたすべてのエンティ ティが、特定のアセットの使用を許可されているとは限らないからです。
ある従業員が特定のクラウドアプリケーションにアクセスしたいとします。 ユーザ名やパスワードなどの認証情報を入力するよう促されます。 しかし、組織のアクセスコントロールポリシーによって、そのアプリケーションは上級レベルの従業員だけに制限されているかもしれません。 この場合、彼らは承認されたユーザーではないので、要求されたリソースを使用することができません。
認証はドアに入るための鍵であり、承認は建物の特定のエリアに入るためのバッジだと考えてください。 鍵を持っていれば誰でも敷地内に入ることができますが、無許可でVIPラウンジに入ることはできません。 つまり、要約するとこうなります：
- 認証は身元を確認します。
- 承認は許可を確認します。
この2つのプロセスを組み合わせることで、サイバーセキュリティとアクセス管理の不可欠な構成要素となります。
認証はなぜ重要なのか？
デジタル認証は1960年代に始まりました。 当時、コンピューターは大きな研究機関や大学にしかない、巨大な部屋サイズの装置でした。 その大きさゆえ、学生、スタッフ、研究者が共有していました。
唯一の問題は？ 誰もが互いのファイルに自由にアクセスできたことです。 この問題を認識したMITの学生が、基本的なパスワードプログラムを作成し、デジタル認証が誕生しました。
それから数十年が経ち、認証方法は時代とともに進化してきたが、その前提は同じです： ユーザが信頼しているリソースへの安全でセキュアなアクセスを提供することです。 デジタル時代の今だからこそ、強固な認証がこれまで以上に重要になっています。
適切な認証システムがなければ、脅威者は個人アカウントや企業アカウントに不正にアクセスする可能性があります。 さらに悪いことに、たった1つのクレデンシャルが侵害されただけで、接続されているすべてのアカウントに対する本格的な攻撃に発展し、機密データを大規模に危険にさらすことになります。
幸いなことに、サイバーセキュリティに対する新しい改善されたアプローチは、この種の脅威に対処する革新的な方法を導入しています。 このモデルは、暗黙の信頼を否定するだけでなく、認証をアーキテクチャの中心に据えています。
認証とゼロトラスト
要するに、ゼロトラストセキュリティは、すべてのエンティティについて潜在的に悪意があり、そのように扱われるべきであるとするフレームワークです。 IDを一度だけ検証するのではなく、ネットワーク、アプリケーション、ファイルなど、あらゆるリソースへのアクセスを要求するたびに、継続的にユーザーを認証することを目指しています。
このアプローチが特に重要な理由は2つあります：
- サイバー犯罪： ハッカーは常に特権アカウントを狙い、脆弱なパスワードを悪用し、ランサムウェアを展開し、その過程で機密データを採取しています。 Verizonの2023年版レポートによると、外部からの侵害のおよそ半分が、クレデンシャルの盗難が原因となっています。 実際、調査対象となった組織の90％が2020年にフィッシング攻撃を経験しており、さらに29％がクレデンシャルスタッフィングやブルートフォース攻撃を報告し、多くのパスワードリセットが発生しています。
- 機器のID： ほとんどの企業では、接続されているデバイスの数が人間のユーザー数を上回っていることをご存知でしょうか。 これらの「機器」（サーバ、コンピューターなど）は、「機器ID」と呼ばれるデジタル証明書と暗号鍵を使用して認証されます。 しかし、これらのクレデンシャルが悪用されれば、セキュリティは壊滅的な打撃を受けます。 世界全体では、無防備な機器IDのために、510億ドル以上の経済的損失が発生しています。 そのため組織は、機器IDがデータベースに保存されているものと一致するかどうかを常に検証しなければなりません。
幸運なことに、これらの問題はまさにゼロトラストアーキテクチャが解決してくれます。 そして、認証がそのモデルの中心的な考え方であるため、企業は、環境全体を通じて継続的な認証メカニズムを実装することによって、フレームワークの強固な基盤を構築することができます。
認証の使用例
より多くの組織がアクセスコントロールについて理解を深め、新しくエキサイティングな方法でデジタル認証を活用し始めています。 企業でのユースケースのうち、最も一般的なものをいくつか挙げます：
- 企業リソースへのログイン： 継続的な認証ツールにより、従業員は会社の重要なシステムにアクセスできます。 電子メールや文書からデータベースやクラウドサービスに至るまで、企業の機密データを厳重に管理します。
- オンラインバンキングおよび金融サービス： 強力な認証は、顧客のオンボーディングとオンラインバンキングに不可欠です。 新規アカウント開設時や既存アカウントへのアクセス時に本人確認を行うだけでなく、ユーザエクスペリエンスに大きな影響を与えることなく、本人確認を行うことができます。
- 安全なリモートアクセスの提供： 認証は、ハイブリッドワーク時代には特に不可欠です。 従業員は、保護されていないデバイスや保護されていないネットワークを使用して世界中で働いているため、ユーザーやマシンの身元を確認することがより重要になっています。
- デジタル取引の保護： 電子商取引は光のようなスピードで進んでいますが、そのペースを維持するのに苦労している組織もあります。 しかし、革新的な認証スキームがあれば、不正行為に対抗し、顧客の信頼を向上させながら、財務データや機密情報を保護することができます。
- 機器ID管理の改善： 劣勢に立たされていても、企業は継続的な認証を活用することで、機器IDのコントロールを取り戻すことができます。 これにより、暗号資産はライフサイクルを通じて保護され、マシン間の安全な接続が保証されます。
認証はどの様に機能しますか？
ユーザまたはエンティティはクレデンシャルを提供し、そのクレデンシャルが認可された情報のデータベースに登録されているものと比較されます。 このレコードは、オンプレミスのローカルオペレーティングサーバまたはクラウドベースの認証サーバに配置することができます。
注目すべきは、これらのクレデンシャルが単純なユーザ名とパスワードの組 み合わせだけでなく、リクエストした個人を検証するために調和して機能する一連の識別属性にできることです。 結局のところ、これは特定の認証方法に依存します。 バイオメトリクス認証は、例えば、顔認識や指紋を使用することができます。
提供された情報がファイルにあるものと一致する場合、システムはそのエンティティにリソースの使用を許可することができます。 しかし、これは「パーミッション」と呼ばれる、あらかじめ決められたアクセス制御ポリシーなど、他の条件にも左右されます。
言い換えれば、たとえユーザが正しい認証情報を提出したとしても、問題のリソースに対するアクセス権が与えられていなければ、そのユーザーは認証されません。
もちろん、疑問はあるでしょう： 処理にどのくらい時間がかかるのでしょうか？ 複雑で面倒に思えるかもしれませんが、実際には数秒で終わります。 高速かつ堅牢な認証スキームにより、ユーザエクスペリエンスを妨げることなく本人確認を行うことができます。
認証の要素とは何ですか？
最も基本的なものとして、認証要素は、任意のリソースへのアクセスを要求するユーザまたはエンティティを検証できる情報の一部または属性を表します。 伝統的に、認証要素は、あなたが知っているもの、あなたが持っているもの、またはあなたが持っているものです。 しかし、この数年で2つが追加され、合計5つとなりました。
したがって、ID認証には以下が使用されます：
- 知識要素： 個人識別番号（PIN）やパスワードなど、利用者が知っている情報を反映したクレデンシャルです。
- 所有要素： これには、トークンやスマートカードなど、ユーザが所有するあらゆるクレデンシャルが含まれます。
- 固有要素： 固有要素には、拇印や網膜スキャンのような生体データが含まれます。
- ロケーション要素： この要素は特にデバイスに関係します。 普段は自宅からログインしている人が、ある日、外国でアカウントがアクティブになったとします。 地理的データにより、遠隔地にいる攻撃者が侵害されたアカウントを通じてリソースにアクセスするのを防ぐことができます。
- 時間要素： 時間は他の要素と協調して使われます。 予定された時間間隔で、従業員の自宅やオフィスなど指定された場所に関連してチェックするだけで、個人の身元を証明します。
最初の3つは単独でIDを認証できますが、後の2つは個人または機器を十分に検証するために他の1つと一緒に使用する必要があります。
認証方法の種類
どの認証方法があなたのビジネスに最適でしょうか？ トリッククエスチョンです： 解決策はおそらく一つではありません。 さまざまな方法を駆使した重層的で強固な認証システムで、完全に保護されるようにした方が良いでしょう。
それでは、最も重要な認証の種類とその仕組みについて説明します：
1. 一要素認証（1FA）
1FAは最も基本的な認証タイプの一つです。 簡単に言えば、1FAはまさにその名の通り：3つの認証要素のうち1つだけを必要とするシステムです。
たとえばパスワード認証です。 この方法では、個人がユーザ名とパスワード（またはPIN）を提供します。 これは圧倒的に一般的な認証手口ですが、最も悪用されやすい手口でもあります。
残念ながら、人々は弱いパスワードを使いがちです。 さらに悪いことに、複数のアカウントで同じものを再利用しているため、フィッシング攻撃などのソーシャルエンジニアリングの脅威にさらされやすいのです。
2. 多要素認証（MFA）
MFAは、身元を確認するために複数の認証要素を必要とします。 定義上、二要素認証（2FA）はこのカテゴリーに入りますが、一般的にはMFAの方が安全なオプションと考えられています。
この場合、ワンタイムベリフィケーションコードなど、パスワード以外の情報を提出する必要があります。 また、本人しか答えを知らないような個人的なセキュリティ上の質問に答えるよう求められることもあります。
MFAは、基本的な認証よりも多くの保護層を設けることで、組織がフィッシング攻撃やその他の悪意のある脅威を阻止するのに役立ちます。
3. シングル サインオン（SSO）
SSOメソッドは、ユーザが1つの統一された認証情報を複数のアカウントに適用することを可能にします。 このプロセスは、ログインの手間を簡略化し、より迅速なユーザー体験を提供するため、特に人気があります。
ビジネスの観点からは、これによって従業員は一度だけログインするだけで、接続されたアプリケーションに素早くアクセスできるようになります。 システムはデジタル証明書を発行し、ユーザがSSO統合アプリケーションへのアクセスを要求するたびにチェックされます。
しかし、ハッカーがSSO認証情報を入手すると、そのユーザの接続アプリケーションにもアクセスできるようになります。 そのため、この方法は追加の認証戦術によってサポートされるのがベストです。
4. パスワードレス認証
パスワードレス認証システムは、その名の通り、固定パスワードを入力する必要がない方法です。 その代わり、他の手段でユーザーを識別します。 これにはバイオメトリクスやハードウェアトークンも含まれますが、最も一般的なのはワンタイムパスコード（OTP）を活用する方法です。
OTPは、時間ベースのワンタイムパスワード（TBOTP）と呼ばれることもありますが、必要に応じて一時的なクレデンシャルを生成するため、より安全な認証プロセスを提供します。 例えば、誰かがアプリケーションにログインすると、電子メールや携帯端末にパスコードが送信されます。 このコードを提供することで、リソースへのアクセスが可能になります。
5. バイオメトリクス認証
盗まれる可能性のある認証情報に頼らないバイオメトリクス識別子は、個人に固有なものです。 一般的なバイオメトリクス要素には以下のようなものがあります：
- 指紋
- パームスキャン
- 顔認識
- 虹彩認識
6. 証明書ベース認証（CBA）
CBAは、電子証明書を使用してエンティティの身元を確認し、コンピュータシステムへのアクセスを許可します。
公開鍵暗号を使用して、証明書は、ユーザおよび/またはデバイスに関する情報を含む一意のコードを提供します。 また、要求されたリソースとの安全な接続を確立する暗号鍵も含まれます。
CBAは、最大限の保証が必要とされる、非常にセンシティブな状況で使用されることが多くあります。
7. トークンベース認証（TBA）
TBAは、一意の暗号化されたセキュリティトークンを生成する認証プロトコルです。 トークンの有効期間中は、トークンの失効や更新が可能で、ユーザはトークンが発行されたウェブサイトやアプリケーションにアクセスすることができます。
8. リスクベースの適応型認証
リスクベース認証（RBA）は、アダプティブ認証とも呼ばれ、各特定のセッションやトランザクションに関連するリスクレベルに基づいて動的に変化します。 要するに、これらのインタラクションにリスクスコアを割り当て、これを使用して、エンティティの身元を証明するために必要な認証の量を決定します。
例えば、リスクの低いセッションは、2要素認証だけで済む場合もあります。 しかし、リスクの高い状況であれば、システムはユーザに追加の課題をクリアするよう求める場合があります。
認証戦略の強化
強固で継続的な認証は、現代のサイバーセキュリティの鍵です。 あなたの組織は、接続、ID、およびデータが不正アクセスから安全であることを完全に保証する必要があります。
当社のIDおよびアクセス管理（IAM）ポートフォリオには、大規模な企業保護に必要なすべての必須ツールが含まれています。 フィッシングに強いMFAからアダプティブステップアップ認証まで、1つの包括的なスイートで重層的で堅牢な戦略を実装できます。