パスワードレスログイン vs マルチファクター認証

ビジネスの規模にアップグレードする際には、信頼できるログインおよびパスワード保護方法が厳しい精査に耐えなければなりません。しかし、パスワードを完全に放棄して代替のアイデンティティ検証方法を採用することと、従来のパスワードに追加のセキュリティ層を加えることの間で、どちらが正しい選択なのでしょうか？

企業のためのサイバーセキュリティ

企業にとってサイバーセキュリティはデジタル資産を保護するために不可欠です。しかし、全ての側面をカバーし、発生するギャップを排除するために強力で包括的な物理的およびデジタルセキュリティシステムを実装することは比較的容易ですが、人間の要素がミックスに加わると、システムのバランスは容易に混乱に陥ります。デバイス、アプリ、システムがセキュリティシステムとどのように反応するかとは異なり、システム内の人々の行動を予測することははるかに困難です。

個人や企業を標的としたサイバー攻撃の大部分は、人間の要素を利用する傾向があります。2017年には、90％以上のサイバー攻撃がネットワーク内の人々を主たる手段および副次的な手段として利用しました。直接的な人的ミスや不十分なサイバー衛生を突くだけでなく、長期間にわたってフィッシングスキームを使用して侵入経路を作り出すこともありました。

したがって、特に高いアクセス権を持つスタッフに対してサイバーセキュリティの意識を高めることは必要ですが、エラーや悪用を軽減するためにアクセスポイントを保護することも重要です。しかし、推測されたり漏洩したりする可能性のあるパスワードのリスクを排除することと、従来のパスワードを超えた確認方法を追加することの間で、どちらを使用すべきですか？

パスワードなしログインとは何ですか？

パスワードレスログイン、つまりパスワードレス認証とは、ユーザーがパスワードの組み合わせを入力せずにコンピュータシステムやアカウントにログインできるアイデンティティ認証の方法です。このログイン方法は、非対称暗号化手法と2つの暗号鍵（秘密鍵と公開鍵）を使用します。従来のログイン方法との違いは、システムとユーザーがパスワードの同一コピーを持っている必要がない知識ベースの認証情報が欠如している点です。

パスワードレスログインの要件を満たすためには、ログイン認証情報は、ユーザーがログインの瞬間に取得する何かである必要があります。例えば、リンクやランダムに生成されたコードが含まれたメールやSMSメッセージを受け取ることです。もう一つの選択肢は、ログインキーがユーザーに特有の情報であり、変更や複製ができないものであることです。生体認証など、指紋、顔、声などが含まれます。

マルチファクター認証とは何ですか？

多要素認証（MFA）は、パスワードに加えてログインするための1つまたは複数のステップを追加するデジタルアイデンティティの検証および認証方法です。その主な目的は、パスワードが失敗した場合にアカウントやデバイスへの不正アクセスを防ぐことです。

アカウントにMFAを追加する方法はいくつかあります。ログインプロセスの第2および第3ステップにメールやSMSメッセージコード、またはユーザーの生体認証をスキャンすることが含まれる場合、パスワードなしのログインと重複することがあります。より一般的な方法は、別のデバイスで生成されたワンタイムパスワード（OTP）を使用することです。以前のアプローチの1つは、ユーザーがスキャンするか、デバイスにUSBメモリとして挿入するログイントークンと重ねて使用されることが多いです。

彼らはビジネスとどのくらいよく協力しますか？

どんな解決策であれ、ユーザーや小規模なチームにうまくいくからといって、企業でも同じように機能するとは限りません。平均的なインターネットユーザーと、知られた名前を持つ企業との間で、セキュリティの脅威のレベルは大きく異なります。それらの企業のシステムやネットワークが持つかもしれないデータについて、一般の人々が理解していることも影響します。

セキュリティ

ログイン認証情報に関しては、セキュリティは不正な第三者がログイン情報を取得したり偽装したりするのがどれだけ難しいかで測られます。パスワードレス認証については、ユーザーの識別方法とその安全性に依存します。もし、それがメールやテキストメッセージで送信されるコードやリンクに依存している場合、ログイン情報はメールまたはSIMカードと同じくらい安全です。これは、ログインチェーンの次の各ステップが独自の認証方法とセキュリティを必要とする無限のチェーンになる可能性があります。例えば、メールは二要素認証（2FA）や生体認証、ハードトークンまたはソフトトークンを有効にすることで保護することができます。

一方、生体認証の欺瞞は、要素を識別するために使用されるシステムの精度と知能に依存しています。技術は消費者向け企業でも異なり、Androidデバイスは3Dプリントされた顔によって欺かれたのに対し、iPhoneデバイスは欺かれませんでした。

MFA（多要素認証）に関して言えば、まだ侵害される可能性のある従来のパスワードに依存しているため、ハッカーがそれを推測したり、侵害されたデータベースから取得したり、ブルートフォース攻撃を使用して推測したりすることができれば、彼らの作業の一部はすでに完了していることになります。これにより、セキュリティの大部分は使用される第二および第三の認証方法と、それらがどれだけハッキングや偽装されにくいかに委ねられています。

使いやすさ

会社のすべての従業員がサイバーセキュリティの基本を知ることは重要ですが、特に彼らの仕事が他の会社のシステム、アカウント、またはデバイスにログインすることを含む場合、ログイン要件があまり技術的でないことが重要です。位置情報データや生体認証を使用してログインすることは、特にほとんどの一般消費者向けスマートフォンやデスクトップで顔認識や指紋の利用が増えている中で、簡単でスキャンしやすいことがあります。

ソフトおよびハードの認証トークン、コード、リンクについては同じことは言えません。このような方法は、検証のためのステップが複数あり、データ転送を含みます。また、ほとんどはメールや携帯電話に依存しており、これらはハッカーの攻撃の好まれる手段です。

企業内で異なるセキュリティおよび技術知識のレベルがある場合、部門によって異なるセキュリティ手法やログインアプローチを適応させる必要があるかもしれません。これは最高のセキュリティを確保し、人為的エラーの要素を減らす一方で、すべてのログインが依然として知られている脆弱性がなく、主要なシステムと互換性があることを確認するための作業が増えます。

スケーラビリティ

スケーラビリティとコストは、企業が採用する可能性のあるセキュリティ対策において重要な役割を果たします。パスワードや直接的な多要素認証(MFA)の手法は、従業員の既存のデバイス、メール、電話番号に依存するため、実装が容易になる場合があります。しかし、トークンやバイオメトリクスに関しては---多要素認証でもパスワードレス認証でも---必要な物理的な暗号キー、バイオメトリクススキャナー、位置確認ソフトウェアの数によって、スケーラビリティとコストが問題になることがあります。

コストとスケーラビリティの問題を回避するために、ネットワークセキュリティをセグメント化することを検討してください。そうすれば、より機密性の高い情報にアクセスできる部門は最も安全な認証方法を使用し、他の部門はより単純なアプローチで隔離されることができます。