ハードウェアキーとは、PCやサーバーへログインする際の本人確認に使う、物理的な認証デバイスのことです。キーホルダーのように持ち運べる小さな機器で、MFAデバイスやセキュリティキーとも呼ばれます。多要素認証の方式全体の見取り図は多要素認証(MFA)の基本で扱っているため、この記事ではハードウェアキーそのものに絞って、仕組み・ソフトウェア方式との違い・運用上の注意点・選ぶ際の確認ポイントを整理します。
ハードウェアキーとは何か
認証で使われる要素は大きく、本人が知っていること(パスワードなど)、本人が持っているもの、本人自身の特徴(生体情報)に分けられます。ハードウェアキーはこのうち「持っていること」を証明するための要素です。パスワードと組み合わせることで、パスワードだけを知っている第三者ではログインできない状態をつくれます。
パスワードは他人に知られたり、使い回しから連鎖的に破られたりする性質があります(パスワード漏洩が起きたときの影響を参照)。物理的な鍵を「もう一つの鍵穴」として足すという考え方は、玄関の鍵にたとえた解説のイメージがそのまま当てはまります。
ハードウェアキーの仕組みのイメージ
ハードウェアキーの内部には、外に取り出せない形で認証用の鍵が保持されます。ログインのたびに、PC側からの問いかけに対してキーが応答を返し、その応答が正しいかどうかで本人確認を行う、というやり取りが基本です。利用者から見れば、キーを挿す(または近づける)、ボタンに触れる、といった動作だけで済みます。
重要なのは、やり取りされる情報を横取りしても、そのまま使い回せる形になっていないという点です。パスワードや入力するコードは、盗まれればそのまま悪用されうる情報ですが、ハードウェアキーの応答はログインのたびに変わるため、同じ手口が通じにくくなります。なお、都度変わる値を使うという発想自体はワンタイムパスワードの仕組みと共通しており、こちらの記事で詳しく解説しています。
認証アプリなどソフトウェア方式との違い
認証アプリやワンタイムパスワードは、スマートフォンなどの端末上で動くソフトウェア方式です。追加の機器を買わずに始められる一方、その端末が乗っ取られた場合や、利用者に偽の画面でコードを入力させる手口には弱くなる場合があります。ハードウェアキーは、コードを人が読んで打ち込む工程がないため、こうした手口に対して相対的に強いと考えられています。
また、製造や医療の現場のように私物スマートフォンを持ち込めない職場では、認証アプリを前提にした運用が成り立たないことがあります。この点でも物理デバイスは選択肢になります。逆に、ハードウェアキーには紛失・故障のリスクがあり、人数分の調達や配布の手間、コストも発生します。どちらが優れているという話ではなく、対象となる業務と現場の条件で選ぶものだと考えてください。方式ごとの比較の全体像は多要素認証の基本記事にまとめています。
PCログインで使う場合に特有の論点
クラウドサービスへのログインとは異なり、PC本体やサーバーへのログインで使う場合は、事前に確認しておきたい点が増えます。
- OSへのログイン自体に使えるか — Webサービスのログインには使えても、OSのログイン画面で使えるかは別の話になります
- 社内サーバーやリモートデスクトップでも使えるか — 社内サーバーへの接続や、リモート接続の経路でも同じ運用ができるかを確認します
- ネットワークにつながらない状態で動くか — 持ち出したノートPCや、通信が不安定な環境でもログインできる必要があるかを整理します
実際にWindowsのログインへ2要素認証を導入する手順や必要な前提についてはWindows OSログインに2要素認証を導入する方法で解説しています。特に権限の強いアカウントを対象にする場合はWindows Serverの特権アカウント管理もあわせて確認してください。
運用面で決めておきたいこと
ハードウェアキーは物理的なモノであるため、導入後の運用ルールを先に決めておかないと、現場が止まる原因になりがちです。少なくとも次の点は導入前に整理しておくことをおすすめします。
- 予備キーの登録 — 一人につき複数のキーを登録できるようにしておくと、片方を失っても業務を継続しやすくなります
- 紛失・故障時の復旧手順 — 誰が申請を受け、どう本人確認して、どのくらいで再発行するかを事前に決めます。ここが未整備だと、緊急時に安易な例外運用が生まれがちです
- 退職・異動時の回収と登録解除 — キーの回収と、システム側の登録解除の両方を手順に含めます
- 貸与管理台帳 — 誰にどのキーを渡したかを記録します。PCやスマートフォンと同じ貸与品として管理する考え方はモバイル・PCのID管理で整理しています
選ぶ際の確認ポイント
製品ごとの比較や選定チェックリストは多要素認証製品の選び方に譲り、ここではデバイス特性の観点から見るべき点を挙げます。
- 自社の対象端末で使えるか — 手元のPCやノートPCの接続方法に合うか、機種によって使えないものがないか
- OSログインに対応するか — Webサービス向けだけでなく、業務で必要なログイン先を満たせるか
- 紛失時の運用が現実的か — 予備キーの登録や再発行の流れが、自社の体制で回せる範囲か
- 管理・配布の手間 — 初期の登録作業を誰が行うか、拠点が分かれている場合の配布方法
- 既存のID管理との連携 — 現在のアカウント管理の仕組みと突き合わせられるか(アカウント管理システムの基本も参照)
まずは自社の状況を確認する
ハードウェアキーが自社に合うかどうかは、対象となる端末や業務、現場の運用体制によって変わります。applippliの無料診断では、約3分の質問に回答するだけで、自社の認証・アカウント管理の対応状況を確認できます。