セキュリティトークンとは？

セキュリティトークンは、ユーザーの本人確認を行うために利用する、物理的デバイスまたはデジタル形式のデバイスです。セキュリティトークンはトークンを使用した認証方式の不可欠な要素です。この認証方式では、暗号化されたトークンを使用してネットワークにアクセスするユーザーを認証します。トークンを使用した認証方式は、従来の認証方式に置き換えて使用したり、別の認証方式に追加して使用されます。

セキュリティトークンの仕組み

セキュリティトークンは通常、2つの方法で動作します。まず、ユーザーがソフトウェアベースのトークンを使用する際は、ユーザーに固有のデジタルコードが発行され、本人確認の証明として使用します。デジタルコードは通常、ユーザーのデバイスにインストールされたアプリまたはプログラムを介して発行されます。ハードウェアベースのトークンを使用する際は、ユーザーがトークンをシステムの読み取り装置に挿入して本人であることを確認します。ただし、すべてのセキュリティトークンがこのように動作するわけではなく、特定の種類のトークンには固有の手順が存在します。

セキュリティトークンの種類

セキュリティトークンにはさまざまな形式のものがあるため、セキュリティ要件などに基づいて最適なものを選択します。ここでは、6種類のセキュリティトークンとその仕組みをご紹介します。

接続型トークン

接続型トークンは、広く普及しているハードウェアトークンの一種で、ネットワークまたはシステムに関連付けられています。接続トークンを使った認証手順の例としては、ハードウェアセキュリティキーをデバイスに挿入するというものがあります。

切断型トークン

切断型トークンはハードウェアトークンの一種で、コードを生成します。物体をデバイスに挿入する必要はありません。ワンタイムコードや別の認証情報を提出して、本人であることを確認します。たとえば、ユーザーがアプリケーションにログインする際には、ユーザーの携帯電話にコードが送信されます。コードが送信されると、そのトークンコードを使用して本人であることを確認します。

非接触型トークン

非接触型トークンは、システムに接続したり、コードを入力したりする必要のないトークンです。その代わりに、通常はワイヤレス接続を使用して、ユーザーが必要とするネットワークリソースにアクセスします。たとえば、BluetoothやNFCキーを使用してシステムにワイヤレスで接続します。

スマートカード

スマートカードは広く普及している接続型トークンの一種で、ユーザーの本人確認に使用します。これは、コンピューターチップが埋め込まれた物理的なカードで、ユーザーのデジタルアイデンティティと認証に関する情報が保存されています。ユーザーがネットワークにアクセスする際は、カード読み取り機にカードを挿入したりタップしたりしてユーザーが本人であることを確認し、接続を確立します。

ワンタイムパスワード (OTP)

ワンタイムパスワードは広く普及した切断型トークンの一種で、1回のログインセッションでのみ有効な固有のコードを生成することで動作します。ユーザーは、リソースにアクセスする際にワンタイムパスワードの生成をリクエストします。ワンタイムパスワードは、テキストメッセージ、電話、メール、トークンに紐づけられた認証アプリを介してユーザーに送信されます。ワンタイムパスワードを取得すると、ユーザーは制限時間内に認証情報とワンタイムパスワードを入力してログインします。

シングルサインオン (SSO)

シングルサインオンは、ソフトウェアトークンを使用することで、ひとつのログイン認証情報だけで複数のアプリケーションにアクセスできるようにする認証方式です。シングルサインオンを使用すると、複雑なパスワードを記憶することも、何度もログイン操作を行うことも必要なくなります。ユーザーがユーザー名とパスワードでIDプロバイダ (IdP) にログインすると、IDプロバイダはユーザーの情報に応じて認証トークンを生成します。ユーザーがアプリケーションへログインしようとする際に、サービスプロバイダ側からIDプロバイダへ認証を要求し、IDプロバイダからトークンが送信されてユーザーが本人であることを確認します。

セキュリティトークンのメリット

認証方式としてセキュリティトークンを導入すると、組織のセキュリティと効率性が向上するというメリットがあります。

セキュリティの強化

ユーザー名やパスワードなどの従来の認証方法と比較すると、セキュリティトークンは使用できる期間が短いため、セキュリティが強化され不正アクセスの防止に役立ちます。

効率性と拡張性の向上

セキュリティトークンは、複数のアプリケーションとネットワークに同時に適用できます。これにより、ユーザーにとって利便性が向上するだけではなく、組織が各ユーザーのログインセッションを処理する手間を軽減する効果もあります。

セキュリティトークンの脆弱性

セキュリティトークンは、従来の認証方法に比べてセキュリティを付加するものですが、脆弱性が皆無というわけではありません。脆弱性の例として、紛失、盗難、侵害などが挙げられます。

物理的トークンの紛失や盗難の可能性

物理的なトークンは、紛失や盗難の可能性があります。たとえば、スマートカードを紛失したり、不正ユーザーにカードを盗まれたりして、機密データや情報にアクセスされる可能性があります。セキュリティートークンをどこかに置き忘れた場合は、無効にして新しいものに置き換えるようにしましょう。

セキュリティキーの侵害

セキュリティトークンは、組織が定期的に取り消しと更新を行わない場合、サイバー犯罪者に侵害されるリスクがあります。トークンは、ブルートフォース攻撃やフィッシング攻撃、中間者 (MITM) 攻撃で侵害される可能性があります。セキュリティトークンの使用期限をローテーションすると、サイバー攻撃のチャンスが減るため、このようなリスクを軽減できます。たとえば、トークンが盗まれたとしても、悪用できるのは限られた時間のみとなります。