マイクロソフトが実現した「パスワード不要のログイン」の意味 - WIRED.jp

ronametro.blogspot.com

パスワードが完全に不要になる未来はまだ先のことだが、「Microsoft アカウント」でパスワードを利用しない設定にすることで、その未来へ向けて大きな一歩を踏み出せるようになる。マイクロソフトが9月15日（米国時間）、法人向けにすでに提供しているパスワードなしのログイン機能を、すべての人が利用できるようにすると発表したのだ。

マイクロソフトは今後数週間のうちに、アプリ「Microsoft Authenticator」と生体認証を利用したWindowsのログイン機能「Windows Hello」において、パスワードなしでの利用に向けたサポートを始める予定だ。パスワードの代わりに、指紋や顔のスキャンなどの生体認証、認証用のハードウェアトークン、またはスマートフォンやメールアカウントに送信される認証コードを利用する設定が可能になる。これにより、10億人以上のMicrosoft アカウント保有者は、新しいシステムでも従来のログインと同様に「Office 365」や「OneDrive」などのサーヴィスを利用できる。

「IDやパスワードの盗難によるサイバー攻撃は増加しています。わたしたちは一方的な攻撃からユーザーを守る立場として、本当に困難な仕事を抱えています」と、マイクロソフトのセキュリティ、コンプライアンス、アイデンティティ担当コーポレートバイスプレジデントのヴァス・ジャッカルは語る。「パスワードを使わないことで、セキュリティだけでなく利便性も向上します。願ったりかなったりです」

「ユーザーの保有物」による認証

パスワードなしのログインでは、生体認証（ユーザー自身の一部）やセキュリティ用のドングル（ユーザーが保有する物理的なキー）などを用いて、ユーザーが“本人”であることを確認する。つまり、本人そのものを
認証するわけだ。これに対してパスワードは「ユーザーの知識」であり、他人に知られたり推測されたりすると問題になる。

パスワードを用いない方式なら「ユーザーの知識」ではなく、「ユーザーの保有物」によって認証できる。例えば、スマートフォンに送られてくるセキュリティコードであっても、指定された短い時間の間にスマートフォンにアクセスする必要がある。

こうした発想の転換は、パスワードなしの認証システムが多くの点で従来のシステムより安全であることを意味する。しかし、人々は何十年にもわたってパスワードに慣れ親しんできたことから、ほかの方法を試してみるように説得することが難しい場合がある。

例えば、パスワードマネージャーの設定に時間を費やしてきた人は、すでにパスワードの利用に伴うわずらわしさの大半は解決済みであると感じているかもしれない。それにパスワード不要のログインは、ウェブカメラで顔をスキャンしたり、USBポートに認証用ドングル「YubiKey」を差し込んだりするだけで、あまり手間がかからない。このため、あまりに簡単すぎて安全性が低いと感じるかもしれない。

マイクロソフトの社内でさえ、パスワードにさらに防御策を追加するのではなく、パスワードを完全に排除するセキュリティシステムを設計・導入するまで何年もかかった。マイクロソフトの最高情報セキュリティ責任者のブレット・アルセノーは、「多要素認証を改良する代わりにパスワードを完全に排除する方向に転じたらどうか、という話し合いを始めたのが2017年のことでした」と語る。

「わたしはその話し合いの場で、これはどこかのマーケティング担当者が思いついた言葉遊びにすぎないのではないか？と疑いました。そして、もし本当にパスワードを排除したいなら、どんなやり方をしたらいいのだろうか、と考えました。そこから新しい発想が生まれたのです」

マイクロソフトによると、法人顧客向けに導入したパスワード不要の認証機能を利用するユーザー数は、2億人を超えている。そして、パスワードを利用したログインに代わる手段を提供しているテック業界の巨人は、マイクロソフトだけではない。だが、「Windows」や「Office 365」が企業の間でも個人の間でも広く普及していることを考えると、マイクロソフトは特別な影響力をもっている。

パスワードを支持する人々

Microsoft アカウントでパスワード機能を完全に停止するには、まず「Microsoft Authenticator」アプリをダウンロードして、Microsoft アカウントにリンクさせる。次に、「account.microsoft.com」にアクセスして「サインイン」し、「高度なセキュリティオプション」へと進む。そこから「追加のセキュリティ」で「パスワードなしのアカウント」を見つけ出し、「オンにする」を選ぶ。そして画面の指示に従って、Authenticatorアプリで変更を承認する。

これで設定完了だ。もしパスワード機能を復元したい場合は、パスワードを再度追加する選択肢がある。だが、再びパスワードを使いたいと思う人がいるのだろうか？

「誰もがパスワードを嫌っていると考えるかもしれませんが、ぜひともみなさんにパスワードを利用してほしいと考えている一派が存在するのです」とアルセノーは言う。「それは犯罪者と呼ばれている人たちです」

※『WIRED』によるパスワードの関連記事はこちら。