Windows 10時代の新認証　「Windows Hello／Microsoft Passport」と「FIDO」を理解する：パスワードは時代遅れです（1/5 ページ）

企業の情シス担当者へWindows 10への刷新を勧めたいポイントの1つが、セキュリティを高める「新たな認証機能」だ。Windows 10の新認証機能Windows HelloとMicrosoft Passport、そして「FIDO」って何？　を解説する。

　Microsoftの最新OS「Windows 10」が、個人向けに2015年7月29日から、企業向けのボリュームライセンス提供が8月1日から開始される。Windows 10に関してはすでに多くの情報が出回っており、注目している人は多いかもしれない。

　本稿では中でも企業、業務で使うWindows 10を理解するうえで重要となる最新セキュリティ機能「Windows Hello」「Microsoft Passport」、そしてこれらと密接な関係にある「FIDO」の概要を説明していく。

Windows 10のデスクトップ画面

Windows 10では「パスワード管理」がもう時代遅れになる？

　今日、コンピュータやその上で提供されるさまざまなWebサービスを日々利用する私たちにとって「ID＋パスワード」というのはとても身近な存在だ。Windows 8／8.1以降はPCを利用するのに「Microsoftアカウント」への「サインイン」動作が必須になったし、FacebookやTwitterといったSNS、Googleの各種サービス利用も「ID＋パスワード」を用いている。

　一方で、どこからでも遠隔でサインインが可能なWebサービスは悪意のある第三者による攻撃対象となりやすい。特に「ID＋パスワード」という組み合わせはセキュリティ上の観点で“もろい”と言われることが多い。理由はいくつかあるが、まず「ID」はメールアドレスなど比較的多くが知り得る情報が使われることが多いこと、「パスワード」はよほど複雑な文字列でない限り、「辞書攻撃（ブルートフォースとも呼ばれる）」のような力業でのトライ＆エラーによる総当たり攻撃で解明されてしまう危険性がある。複雑で覚えにくいパスワードを嫌い、ごく単純な文字列や数字の並びでパスワードを設定する人もいる。

　パスワード管理ソリューションを提供する米SplashDataが2015年1月に発表した2014年版「最悪なパスワードランキング」を見ると、上位には「123456」「password」「qwerty」といった、すでにパスワードとして機能しない文字列の数々が並んでいる。

　このほか、ID＋パスワードによる認証管理はいくつかの問題が存在する。前述した複雑なパスワード管理を嫌い、複数のサービスで「同じものを使い回す」というケースだ。この場合、ある1つのサービスでID＋パスワードの組み合わせが漏れると、それと関連して芋づる式に他のサービスへのハッキングを許してしまうことになる。自身ではきちんとIDとパスワードを管理しているつもりでも、当該のWebサービスを提供する側のサーバにハッキング攻撃があり、これが第三者の手へと漏れてしまう危険もゼロではない。「ID＋パスワード」という仕組みは一般的で比較的簡易である一方、これに依存しているインターネット社会のアキレス腱ともいえる存在となりつつある。

根本にあるのは「パスワードは、もう時代遅れ」という発想

　パスワードを複雑にするとセキュリティ的には強固になる。しかし、覚えにくく管理が煩雑になる。なにより、複雑なパスワードは入力が面倒で、使いづらい。最近は筆者も含め、仕事以外の作業はスマートフォンやタブレットで済ますという人も多いと思うが、キーボードがないため大文字／小文字を含めた複雑な長文入力はうっとうしい。実際、Androidデバイスでは画面に表示された点を順番になぞって本体ロックを解除する「パターンロック」方式が採用されているし、iOSでは4桁数字の「PINコード」解除方式が一般的だ。最新のデバイスでは「Touch ID」などの指紋認証センサーが搭載されていたり、あらかじめ登録した「腕時計（スマートウオッチ）」など特定のデバイスが近くに存在するときだけロック解除動作が必要なくなる仕組みが用意されたりと、スマートデバイスの世界では、いろいろ便利で興味深いものが増えている。

　PCの世界においても同様だ。Windows 10では「Windows Hello」と「Microsoft Passport」という新しい認証機能が標準でサポートされる。

Windows HelloによるWindows 10のサインイン画面。顔認証が有効になっていると、カメラに認証登録された人物の顔が映るまで探し続ける

　Windows Helloは、いわゆる「バイオメトリクス（生体）認証」だ。「指紋認証（Fingerprint）」「顔認証（Face）」「虹彩認証（Iris）」の3種類に対応する。パスワード管理ソリューションのMicrosoft Passportは、従来のID＋パスワードの枠を超えて、より強固な公開鍵暗号（PKI）の仕組みをユーザー認証に持ち込む。Microsoft Passportでのユーザー認証にWindows Helloのバイオメトリクス認証を用いることも可能だが、4桁数字の「PINコード」だけでもユーザー認証が行える。

　さて、「4桁程度のPINコードでは、多少複雑なパスワードよりセキュリティ的に弱いのでは？」と疑問に思う人もいるだろう。

　2つの技術の根本にあるのは「パスワードはもう時代遅れ」という発想だ。「パスワードより利便性を高めつつ、安全性を確保する」ことが狙いとなる。では、この2つはどのように安全性を確保しているのだろう。順を追って解説しよう。