IT運用において個人認証をどうするか

IT活用を行っていると、通常、複数のシステムやツールを使う事になる。そこで問題になるのが、IDとパスワードの管理の問題だ。システムやツールの数を増やすとその分だけIDとパスワードが増える。

数が増えると管理出来なくなる。利用者は、システムの数が増えるだけIDとパスワードを設定する必要がある。IPAではパスワードを「できるだけ長く」、「複雑で」、「使い回さない」ものとすることを推奨しています。

不正ログイン被害の原因となるパスワードの使い回しはNG | 情報セキュリティ | IPA 独立行政法人情報処理推進機構

情報処理推進機構（IPA）の「不正ログイン被害の原因となるパスワードの使い回しはNG」に関する情報です。

もしパスワードが誰かに知られてしまっても、使っているシステム毎にパスワードが異なれば、ハッキングの被害は最小限になる。例えば、三つの銀行のオンラインシステムを使っているとする。パスワードはそれぞれ異なっているとする。その場合、パスワードが誰かにバレたとしても、三つの銀行から一気にお金を不正に引き出される可能性が低くなる。逆にパスワードが全て同じだと、三つの銀行口座から纏めて不正にお金を引き出されてしまうリスクが高い。

しかし、実際はパスワードは使いまわすのが、現実だろう。システム毎にパスワードを変えると、覚えられなくなるからだ。実際にシステム毎に異なるパスワードを設定したとする。でも覚えられないので、いざシステムを使おうとすると、ログイン出来ない。その場合、パスワードの再設定等の手続を行う。その後、ようやくシステムが利用できるようになる。一度、この面倒な事を経験したら、利用者は自分が使うシステムやツールでパスワードは統一しようと思うようになる。しかも覚えやすい様に出来るだけ簡単なパスワードを設定しようとする。

パスワードを統一すれば、今度はリスクが高まる。要するに、「システム毎に異なるパスワードを設定する」という運用は実際には運用出来ないのだ。以下の通りである。

1．利用者がシステム毎に異なるパスワードを設定する。

2．システム毎にパスワードが異なるので、利用者はパスワードが覚えられなくなる。

3．パスワードを忘れない様に、使っているシステム毎にパスワードを統一しようとする。覚えやすい様に、非常に複雑なパスワードは設定しないで簡単なパスワードを設定するようになる。

4．簡単なパスワードはなので、ハッキングの被害が起きる。

5．対策としてシステム管理者は利用者に、利用するシステム毎に複雑なパスワードを設定する様に命じる。

6．「1」に戻る。

ではどうするのか。私がシステム管理者だった頃、個人認証としてパスワードをやめる事を決意した。最終的には、生体認証にしようと思った。具体的には顔認証で個人を特定しようと思いました。PCやスマホで顔認証でPCやスマホにログインする。一度ログインすれば、その後はその認証情報を使って、システムの個別の認証を自動的に行う。人間がシステムを利用する時にIDやパスワードで入力する機能は廃止してしまう。つまり、最初の関所で個人認証を厳密を行えば、その後は、その通行手形があれば、システム側としては、その通行手形をみて、通してあげる事にする。自分が発行した通行手形以外の方法では絶対に通さない。今回は通行手形を忘れたので、代わりにIDとパスワードを入力するので、これでお願いしますという事もやめる。これなら、最初の本人認証が完了すれば、利用者はその後は自分の使うシステムにログインする時、いちいちIDやパスワードを入力する必要がない。また、ハッキングを行おうとする人がIDやパスワードで不正ログインする事も出来ない。

要は入口は一か所のみで、そこは厳しいく正確な個人認証を行う。この入口口以外から入場は不可とするのである。入場の認証は顔認証が良いだろう。NECの顔認証はエラー率は0.5%だそうだ。

世界トップクラスの技術力と取り組みの歴史

NECは1989年より顔認証技術の研究開発を開始しました。これは50年以上前の文字認識の研究で確立したパターン認識技術を応用したものです。2009年に米国国立標準技術研究所（NIST）主催のベンチマークに参加して以来、これまでにNo.1の評価を複数回獲得しています。

この本人認証の仕組みは大きく二つの作業に分けられる。一つは顔認証の仕組みの部分で、もう一つは顔認証が完了した後の各システムを利用する時の自動認証だ。前者は一つ目は最初の厳しい関所を設ける部分です。後者は、関所を通過した場合、その後のお店はフリーパスで入れる仕組みです。

最初の「関所」構築の部分は、顔認証で実現しようとするとコストも時間もそれなりにかかるので、まずは少し違う方法で実現しました。具体的には、社内のネットワークに居るPCだけを認証する事にしました。例えば、会社に来て、PCを立ち上げる。そこでIDとパスワードを入力して、PCにログインする。このログインの部分が関所です。社内のネットワークから接続していないPCは、この関所に来ても、全て追い返すような状態にしました。こうする事で事実上、社内の人しか関所に入れない状況になります。非常に厳しい関所が出来上がります。

ひとたび、利用者が関所を通過すれば、あとはフリーパスです。システムから見れば、「おたくのシステムにログインさせてください」と利用者から要求があれば、基本的に通してあげる。その人達は、全て厳しい関所を通過してきた社内の人達ですから。実際に関所を通過してきたが、システムから見れば「おたくはどこの誰？」と個人を特定する必要があります。これは関所を追加してきたログインIDを使えばOKです。「システムに入れて下さい」と言っている人が首からID番号のカードをぶら下げているのと同じです。システムはそのIDを見て、「〇〇さん」と分かるので、その人を認識してログインさせます。利用者からみれば関所を超えた後、システムにログインしようとすると、IDやパスワードを聞かれずに、システムにログインして、マイページが表示されている状態になる。まさに「顔パス」でお店の中の自分専用の部屋まで通してもらっている状態です。