トークンベースの認証とは？ 種類やメリットなどについて徹底解説！

クラウドサービスを業務に活用している企業が増えています。クラウドサービスにログインするにはIDとパスワードを入力するのが一般的ですが、最近ではPINコードやワンタイムパスワードなどの認証を組み合わせ、2段階認証を採用しているクラウドサービスが多くなってきました。

ワンタイムパスワードによる認証では、パスワードを生成するトークンがセットで使われています。本記事では、2段階認証でも利用が増えているトークン（セキュリティトークン）について、その概要や種類、導入メリットなどを解説します。

1.　トークンベースの認証とは？

セキュリティの認証におけるトークンとは、IT機器やクラウドサービスの利用時に認証に使う物理的なデバイスのことを指します。認証とは、自分がIT機器やクラウドサービスの利用権限を持ったユーザーであることを証明することです。IDとパスワードによる認証や生体認証、トークンを使った認証などの種類があります。

トークンを使った認証の場合、そのトークンを所持していることを示すことが本人証明になります。トークンを所持していることを示す方法は、トークンを直接IT機器に接続する方法や、トークンの液晶に表示されるワンタイムパスワードを、クラウドサービスへのログイン時に入力する方法などです。

例えば、オンプレミスの有料アプリの中には、購入時に配布されたトークンをPCに接続しておかないと起動できません。これはトークン内のライセンス情報を確認できた場合のみアプリを起動するという仕組みであり、トークンをPCに接続することがライセンスを所持している証明になっています。

最近では、ネットバンキングやオンラインゲームで、トークンを使ったワンタイムパスワードの活用が広がっています。

ワンタイムパスワードとの違い

トークンを使ったワンタイムパスワードの活用が広がっていくと、トークンとワンタイムパスワードを混同して認識している方もいらっしゃいます。ここでは、トークンとワンタイムパスワードの違いについて整理します。

ワンタイムパスワードとは、一度だけ使える使い捨てのパスワードのことです。パスワードの生成方法には、現在時刻を基に短時間だけ有効なパスワードを生成する方法や、認証回数を基にパスワードを生成する方法があります。

このワンタイムパスワードを生成する機能を持つデバイスのことをトークンといいます。生成したパスワードを液晶ディスプレイに表示する機能を持っているトークンが多いです。簡単に整理すると、次のようになります。

• ワンタイムパスワード：1度だけ使えるパスワード
• トークン：ワンタイムパスワードを生成するデバイス

2.　トークンは大きく2種類に分類される

トークンには、ハードウェアトークンとソフトウェアトークンの2種類に大別されます。

ハードウェアトークン

ハードウェアトークンは、認証するための情報生成や情報保持の機能を持った認証専用の物理デバイスのことです。持ち運びがしやすいキーホルタータイプやカードタイプ、IT機器のUSBやPCカードスロットに接続できるUSBタイプや、PCカードタイプなど多くの種類があります。

非接続型トークン

IT機器やPCと接続する必要がなく、それ単体で使うことができるトークンが非接続型トークンの特徴です。キーチェーンにつないで持ち運べるキーホルダータイプなどがあり、ネットバンキングやオンラインゲームなどのクラウドサービスに広く使われています。

単体で使えるため使い勝手が良いですが、バッテリーが切れたら使えなくなるといったデメリットもあります。

4スマートカード型トークン

薄いカードのような形をしたトークンで、クレジットカードのように財布などに入れて持ち運べます。単体で機能する非接続型のほかに、Bluetoothで通信する機能を持ったタイプもあります。

4Bluetooth型トークン

Bluetoothで通信する機能を持ったトークンです。トークン内に保持しているライセンス情報や、ワンタイムパスワードをBluetooth通信でIT機器に送信できるため、ユーザーがパスワード入力などをしなくても自動で認証できるのが特徴です。カードハッキング対策のためにBluetooth機能を無効にできるものもあります。

4PCカード型トークン

ノートPCのカードスロットに挿入して使うトークンです。PCに挿入しておくだけで有料アプリなどのライセンス認証が自動でできるのが特徴です。

4USB型トークン

PCやIT機器のUSBインターフェースに接続して使うトークンです。利用方法はPCカード型トークンと一緒ですが、USBで接続するかカードスロットに挿入するかといった接続方法の違いがあります。

ソフトウェアトークン

スマホにインストールして、スマホをトークンの替わりに使えるようにするためのアプリのことを、ソフトウェアトークンといいます。ユーザーがもともと持っているスマホを活用できるので専用のデバイスを用意する必要がなく、ハードウェアトークンに比べてコスト面で優れています。

3.　トークンベースの認証におけるメリット

トークンを使った認証のメリットを3つ紹介します。

高いセキュリティを保持できる

ワンタイムパスワード認証では、トークンが生成して表示するパスワードは1回しか使えません。フィッシングや盗み見などでパスワードを盗まれてしまったとしても、そのパスワードは使えないため、不正アクセスを防ぐ効果が高いというメリットがあります。

そのため、ネットバンキングなどの高いセキュリティが必要なサービスでID/パスワードによる認証と、トークンによるワンタイムパスワード認証の2段階認証が広く使われるようになっています。

ユーザーの利便性を上げられる

トークンによる認証は、ユーザーの手間がかからず利便性が高いという特徴があります。

ワンタイムパスワードはトークンに表示されるため、ユーザーがパスワードを新たに覚える必要がありません。また、トークンを使ったライセンス認証の場合は、トークンを共有するだけで簡単にフローティングライセンスの管理ができ、認証作業もIT機器にトークンを接続するだけなので認証の手間がほとんどかからないのがメリットです。

コストを抑えた導入ができる

トークンを使った認証は、生体認証などと比較して認証デバイスが安いのがメリットです。そのため、多くの人が利用するサービスでも、利用者に配布するデバイスの費用を安く抑えることができます。

さらに、ソフトウェアトークンならユーザー自身のスマホをトークンとして活用できるため、トークンを配布する必要がなくデバイスのコストもかかりません。

4.　まとめ

今回の記事では、トークンを使った認証の基礎知識やメリット、トークンの種類について解説してきました。

導入コストを抑えつつ、高いセキュリティを確保できるのが、トークンによる認証の最大のメリットです。しかし、トークンを盗まれたり紛失したりすると認証ができなくなってしまったり、不正アクセスを許してしまうことになるため、トークンの管理には細心の注意が必要です。

企業内でトークンを利用している場合は、管理者や保管場所を定め、厳重な貸出管理を行うようにしましょう。