ネットの本人認証の方向性

ネットの本人認証の方向性についてまとめておこう。
本人認証の種類を挙げるとつぎのようになる。

①　パスワード方式　

本人認証というと、まず、ＩＤとパスワードであろう。
何かのウェブシステムがあったとすると、まずはＩＤとパスワードとなっている。
ウェブメール、ネットスーパー、ネット証券、ブログサービスなど、多くのサービスはこのパターンだ。
たいがいの、８割くらいのウェブサービスは、この程度のシステムでよいのであろう。

ただ、ネット銀行のように現金を扱う場合、パスワードが破られるなどの問題が生じている。
社会的な問題になるのは、個人情報・企業情報の流出、現金の不正送金などだ。
秘匿性・換金性が高い分野については問題が生じるということだ。

②　合言葉方式　

つぎに「合言葉」方式というのがある。
事前に合言葉を設定しておいて、合っていたらパスするというものだ。
しかし、これも結構破られている。
意味をベースにしたものだと推測できてしまうからだ。
推測と総当たりで破ることができるということだ。

③　乱数表方式　

つぎが「乱数表」方式であろう。ウェブ銀行のキャッシュカードの裏などに印刷されているものだ。
乱数表であれば、合言葉より推測しにくく認証時に全データの流出がない。
破られたというのをあまり聞かないように思う。
必要な全情報がサービス側とユーザ側にあって、認証にあたりパスワードなど全ての情報をネットで経由させない。一部の情報だけ使う、毎回、変わる、というところに特徴がある。

④　トークン方式　

トークン方式がそのつぎであろう。
電源を入れると数値が羅列されていてパスワードになるというものだ。
ひじょうに安心感がある。
必要な全情報がサービス側とユーザ側にあるという点では乱数表と同じで、やはり、パスワードに関する全情報がネットを経由しない。
トークン方式は乱数表をもっと高度にしたものといえる。
全情報を入力するということと、認証をするということは必ずしも一致していなくてよいということだ。
そして、乱数表の情報量と認証時の情報量を増やしてしまえば、破られるリスクが確率的に減るということだ。

この他、個人認証としては指紋認証とか顔認証などもある。
しかし、カメラやＵＳＢ機器のようなハードウェアが必要だし、解析のソフトウェアも必要となる。
少なくとも、一般的な人々を対象とするウェブの分野では、システム依存度が高いものは普及していく力がないといえる。
また、ワンタイムパスワードというものもあるが、ＩＤやパスワードなどの全情報がメール等のネットを経由するので、結局、①と同じになる。

すると、現状の個人認証としては①〜④くらいにまとまるであろう。

ネットバンキングやネット売買で、①、②あたりで情報流出を繰り返している企業がある。②が破られたので③や④にするのなら意味がある。
しかし、合言葉方式②が破られているのに、その後、また合言葉方式②のシステムに改修していたりする。上の程度の考察すら足りないといえる。

ユーザの側からすると、無意味にシステム改変が繰り返されるばかりとなる。被害が確認されている金融機関などは、毎年、ほぼ同じところだ。ネットで検索するとすぐに出てくる。顧客情報管理が甘い企業は自分で確認したほうがよい。
個人情報流出や不正送金などの被害が増えるにつれ、こうしたところはいずれ見切りをつけられることになるであろう。

結局、ネット銀行などのように秘匿性が必要とされるウェブサービスでは、③、④あたりが必要と思われる。ネット銀行などで①、②あたりに留まっているサービスは淘汰されていく。最初から使わないか、預金を引きあげるなどしたほうがよい。