トークンレスのメリットとマトリクス認証の限界
2要素認証の必要性で見てきたように、ハードウェアトークンを使う 2 要素認証は高い安全性の一方でコストと運用負荷の点で問題が認識され始めました。個々のトークンにコストがかかること、それに加えて、トークンの配布や電池切れによる交換、不要になったトークンの回収などにかかるコストや管理負担が無視できなくなったのです。
このようにトークンを使った認証の限界が明らかになると、トークンを使わない認証や生態認証を使った多要素認証が台頭し、より柔軟で安全なソリューションを、はるかに優れたコストパフォーマンスで提供できるようになりました。
様々なトークンレス認証
トークンを使わない (トークンレス) 認証方式は、キーホルダータイプの専用ハードウェアを使わず、携帯電話やスマートフォンをトークンとして使うものです。ひとつはトークンレスのワンタイムパスワード方式で、電子メールやSMSなどでワンタイムパスワードを送り、ハードウェアトークン同様にそれをユーザーが入力し、認証します。
もうひとつはマトリクス認証で、あらかじめ2次元のパターン (「左上からVの字型」や「左上からZ字型」など) を決めておき、都度画面上にランダムに表示される数値や文字からワンタイムパスワードを生成し、それを入力するものです。
最近ではクラウドサービスなどWebサービスの利用が増えており、Webブラウザ上で認証を行えるソリューションが求められていますが、トークンレスワンタイムパスワードはパスワードそのものを送るため、なりすましなどのリスクが高いという問題があります。
そのため、Webサービス用にはマトリクス認証が使われることが多いですが、この場合には、パターンを覚えるのが難しい、選ばれるパターンが偏る、パターンからワンタイムパスワードを導き出すのが難しい、などの問題が指摘されていました。
マトリクス認証の問題を解消したSwivelのPINsafe
この問題の解決のため、Swivelは画期的な方法を開発しました。PINsafeはパターンなどを覚える必要の無い、簡単なトークンレス認証です。
※ Swivel ではハードウェアトークンがどうしても必要な環境にも対応できるよう、ハードウェアトークンを使った認証にも対応しています。トークンを使った認証とトークンレスの認証を混在できるため、非常に便利です。