ソフトウェア型の2要素認証とは？認証アプリ方式の仕組みと向き・不向き

2要素認証を導入しようとすると、必ず「何を2つ目の要素にするか」という選択が出てきます。その候補のうち、専用の物理デバイスを配布せずに始められるのがソフトウェア方式(ソフトウェアキー・認証アプリ・ソフトウェアトークン)です。手軽に見える一方で、端末の管理や紛失時の運用という別の課題が出てきます。この記事では、ソフトウェア方式の仕組みと、どういう組織・用途に向くのかを整理します。方式全体の横並び比較は多要素認証の基本を解説した記事で扱っています。

ソフトウェアキーとは何か

ソフトウェアキーとは、本来は専用の物理デバイスが担っていた「本人が持っているものである」という証明の役割を、パソコンやスマートフォン上のソフトウェアに肩代わりさせる方式のことです。認証アプリ、ソフトウェアトークンといった呼び方もされますが、いずれも「持ち物としての要素を、端末の中のソフトウェアで表現する」という考え方は共通しています。

つまり、利用者が持ち歩くのは専用機器ではなく、業務で使っている端末そのものになります。この一点が、後述する利点と弱点の両方を生み出しています。

仕組みのイメージ

細かい方式によって差はありますが、共通する骨格はシンプルです。まず初回の登録時に、端末側のソフトウェアと認証を行うサーバーとの間で、両者だけが知る情報を共有します。以降のログイン時には、その共有した情報をもとに、その場限りで有効な値を端末側が生成します。サーバー側も同じ前提から値を求められるため、提示された値が一致すれば「登録された端末を持っている本人だ」と判断できる、という流れです。

重要なのは、パスワードのように固定された文字列を送るのではなく、毎回変わる値でやりとりする点です。そのため仮に一度使われた値を盗み見られても、そのまま再利用はできません。生成される値の種類や有効時間の考え方については、ワンタイムパスワードの仕組みを解説した記事で詳しく扱っています。

導入面での利点

ソフトウェア方式が選ばれる理由は、多くの場合、運用の立ち上がりの軽さにあります。

• 物理デバイスの調達・配布が不要 — 機器の発注、検品、配布、在庫管理といった一連の作業が発生しません
• 増員・異動に追従しやすい — 新しい利用者が増えても、登録作業だけで対応できます
• 費用の見通しが立てやすい — 機器の実費や紛失時の再発行費用ではなく、利用者数を基準に考えられるため、予算化しやすい傾向があります
• 拠点が分散していても展開しやすい — 物理的な発送作業を挟まないため、遠隔地の利用者にも同じ手順で展開できます

弱点と注意すべき点

一方で、ソフトウェア方式には構造上の弱点があります。導入前に確認しておきたいのは次のような点です。

端末そのものが乗っ取られた場合に弱い

2要素認証の前提は「パスワードとは別の独立した要素」を求めることにあります。しかし2つ目の要素が端末の中のソフトウェアである場合、その端末が第三者の手に渡ったり、不正なソフトウェアに侵入されたりすると、要素の独立性が崩れやすくなります。端末を守る対策と切り離して考えられない方式だといえます。

利用者に端末を持たせられない現場では使えない

製造現場や店舗など、業務中に個人が端末を携行しない職場では、そもそも成立しません。この場合は物理的な鍵を用いる方式が現実的で、ハードウェアセキュリティキーの解説記事で扱っています。

端末の入れ替え・紛失のたびに再登録が必要

端末とサーバーの間で情報を共有する仕組みであるため、端末が故障・買い替え・紛失で入れ替わるたびに、登録をやり直す運用が発生します。誰が申請し、誰が本人確認をして再登録を許可するのかを決めておかないと、いざそのときに担当者の判断で例外対応が積み重なりがちです。端末そのものの管理台帳についてはモバイル・PCのID管理を扱った記事も参考になります。

私物端末を使う場合の線引き

業務用端末を全員に配布していない組織では、私物端末に認証アプリを入れる形になりがちです。その場合、退職時にどう解除するのか、業務時間外の対応をどこまで求めるのかといった論点が残ります。技術の問題というより、社内ルールとして事前に合意しておくべき部分です。

ソフトウェア方式の種類と、それぞれの強度

「ソフトウェアキー」とひとまとめに呼ばれますが、中身はいくつかの方式に分かれます。強度も運用の手間も方式ごとに違うため、選定の際は名称ではなくこの区分で見てください。

「通信が切れても使えるか」の列は、選定時に見落とされやすい項目です。プッシュ通知やSMSを前提にすると、通信が不安定な現場や、社外に持ち出したノートPCでログインできない状況が起こりえます。この論点は インターネットに繋がらない環境の2要素認証で詳しく扱っています。

方式を決める前に確認しておく3つのこと

• 対象者が業務でスマートフォンを持っているか — 持っていない層がいる場合、その人たちだけ別の方式を用意する必要があります（スマホなしで多要素認証を導入する方法）
• 私物端末に業務用のアプリを入れてよいか — 会社として認めるのか、認めるなら何を条件にするのかを先に決めておかないと、展開の途中で止まります
• 機種変更のときに誰が対応するか — 認証情報の移行は利用者本人では完結しないことがあります。問い合わせ窓口を決めておきます

ソフトウェア方式とハードウェア方式、どちらを選ぶか

どちらが優れているかという問いには一般解がありません。次のような観点で、自社の状況に当てはめて判断するのが現実的です。

• 利用者に端末を持たせられるか — 業務中に個人が端末を携行できない現場が含まれるかどうか
• 守りたい対象は何か — パソコンへのログインそのものか、クラウドサービスへのログインか。前者についてはWindows OSログインの2要素認証を解説した記事で扱っています
• 紛失・故障時の運用を回せる体制があるか — 再登録の申請・承認フローを維持できる担当者がいるかどうか
• 既存のID管理との連携 — 現在のアカウント管理の仕組みと接続できるか(アカウント管理システムの解説記事も参照)
• 利用者の負担 — 日々のログイン手順として現場が受け入れられる操作数かどうか

比較の進め方そのものについては多要素認証の製品選定を扱った記事で整理しています。

一方式に統一しないという選択肢

検討の途中で「全員を同じ方式に揃えなければならない」と考えてしまい、結論が出なくなることがあります。実際には、役割や現場の状況に応じて使い分ける形も取れます。

たとえば、端末を常時携行する事務部門はソフトウェア方式で運用しつつ、端末を持ち込めない現場では物理的な方式を使う、といった分け方です。また、影響範囲の大きい管理者アカウントだけはより強い方式にする、という考え方もあります。方式を混在させると管理対象は増えますが、「全員に合う一つの方式」を探し続けて導入自体が止まるより、実務上は前に進みやすい場合があります。

まずは自社の状況を確認する

どの方式が適しているかは、端末の配布状況や運用体制によって変わります。applippliの無料診断では、約3分の質問に回答するだけで、自社の認証・アカウント管理の対応状況を確認できます。方式選定の前提として、現状を整理する材料としてご利用ください。