ワンタイムパスワードとFIDO2・パスワードレス認証とは？

ワンタイムパスワードとFIDO2・パスワードレス認証の意味

一度きり有効な使い捨てパスワードで再利用攻撃を防ぐ方式（時刻同期方式・チャレンジレスポンス方式）と、さらに進んで公開鍵暗号を用い、端末内の秘密鍵で署名して認証するパスワードレス方式。後者は共有秘密が存在しないため、漏えいしても再利用できない。

ワンタイムパスワードとFIDO2・パスワードレス認証の具体例

TOTPは30秒ごとに6桁を生成し、サーバと端末が同じ時刻と秘密種から同じ値を算出する。FIDO2ではブラウザが認証器へ署名を依頼し、生体情報やPINは端末内でのみ検証されてサーバへは送られない。

ワンタイムパスワードとFIDO2・パスワードレス認証は試験でどう引っ掛けられる？

SMSで送るワンタイムパスワードは、SIMスワップや中継型フィッシングで奪える。FIDO2が強いのは「署名対象にドメイン情報が含まれ、偽サイトでは署名が成立しない」ためで、単に生体認証だからではない。

ワンタイムパスワードとFIDO2・パスワードレス認証と関連する用語

• 多要素認証とリスクベース認証
• 生体認証の精度指標（FRR・FAR）
• フィッシング対策とパスワードリスト攻撃対策

ワンタイムパスワードとFIDO2・パスワードレス認証が出た過去問

• システムの利用者認証技術に関する記述のうち、適切なものはどれか。

  正解：認証のために一度しか使えないパスワードのことをワンタイムパスワードという。

  要点：ワンタイムパスワードは使い捨てで再利用を防ぐ認証

  ワンタイムパスワードは、一度限り有効な使い捨てのパスワードを用いる方式で、盗み見られても再利用できないため、固定パスワードより安全性が高い。他の選択肢は、シングルサインオン、バイオメトリクス認証、マトリクス認証といった別方式の説明と名称が入れ替わっている。

  出典：平成25年度 春期 ITパスポート試験 問58（IPA）

• ワンタイムパスワードに関する記述中のa，bに入れる字句の適切な組合せはどれか。 利用者は，トークンと呼ばれる装置などを用いて生成された[ a ]のパスワードを使…

  正解：a:使い捨て　b:なりすまし

  要点：ワンタイムパスワードは使い捨てでなりすましを防ぐ

  ワンタイムパスワードは、一定時間ごとや認証のたびに変わる使い捨てのパスワードで、トークンやスマートフォンのアプリで生成する。一度使ったパスワードは再利用できないため、盗聴などで漏れても他人が本人になりすまして認証を通ることを防げる。

  出典：平成27年度 秋期 ITパスポート試験 問55（IPA）

• ワンタイムパスワードを用いることによって防げることはどれか。

  正解：漏えいしたパスワードによる不正侵入

  要点：ワンタイムパスワードは漏れた値の再利用を無効にする

  ワンタイムパスワードは、一度きりしか使えない使い捨てのパスワードを毎回生成して認証に用いる方式である。仮に通信の盗み見や何らかの経路でパスワードが漏れても、その値は既に無効になっているため再利用できず、なりすましによる侵入を防げる。ただし侵入後の改ざんやウイルス感染そのものを防ぐ仕組みではない。

  出典：平成27年度 春期 ITパスポート試験 問61（IPA）

• 利用者が，トークンと呼ばれる装置などで生成した毎回異なる情報を用いて，認証を受ける認証方式を何というか。

  正解：ワンタイムパスワード

  要点：ワンタイムパスワードは毎回異なる使い捨ての認証情報

  ワンタイムパスワードは、その都度異なる使い捨ての情報で認証する方式で、専用のトークンやスマートフォンのアプリが時刻や回数に基づいて値を生成する。仮に通信途中で値を盗まれても再利用できないため、盗聴や使い回しによる不正利用に強い。

  出典：平成29年度 春期 ITパスポート試験 問94（IPA）

• オンラインバンキングにおいて、マルウェアなどでブラウザを乗っ取り、正式な取引画面の間に不正な画面を介在させ、振込先の情報を不正に書き換えて、攻撃者の指定した口座…

  正解：MITB（Man In The Browser）攻撃

  要点：MITBはブラウザに割り込み取引内容を書き換える攻撃

  利用者の端末に潜んだマルウェアがブラウザの処理に割り込み、画面上は正しい内容に見せかけたまま、送信されるデータを書き換えてしまう攻撃である。利用者自身が正規の手順で認証しているため、通信路の暗号化やワンタイムパスワードだけでは防ぎきれない点が厄介である。取引内容を別経路で確認する仕組みなどが対策になる。

  出典：平成30年度 秋期 ITパスポート試験 問60（IPA）