電話不通区域におけるグリッドパターンマッチングMFA方式

概要

重要施設および高度に管理された環境では、敷地内での携帯電話の使用は厳しく禁止されています。これは、環境のセキュリティ、安全性、および真正性を確保するためのみに行われます。

こうした場所では、SMSやメールによるワンタイムパスワード（OTP）、マジックリンク、プッシュ通知といった多要素認証（MFA）方式は機能しない可能性があります。なぜなら、どの方式も二段階認証に電話を必要とするからです。そのため、施設側は従来型のパスワードのみによるWindowsログイン方式に頼らざるを得なくなりますが、この方式は容易に破られる可能性があります。

この問題に対処するため、重要施設では、オフラインでWindows上で動作するグリッドパターンマッチング方式を利用できます。この方式は、電話を使わずに強力で再現性の高い認証を実現します。

モバイル端末に依存しない多要素認証方式が必要な理由

グリッドパターンマッチングやハードウェアトークンなど、モバイル端末に依存しない多要素認証（MFA）方式は、携帯電話に関連するセキュリティ上の脆弱性や制限を軽減するために必要です。モバイル端末に依存しないMFA方式が必要な理由を以下に説明します。

• 脅威からの保護： モバイル端末を用いた多要素認証（MFA）方式は、SIMカードの不正利用、端末の盗難、フィッシング攻撃に対して脆弱です。しかし、グリッドパターンなどのモバイル端末に依存しないMFA方式では、そのような脆弱性はありません。
• フィッシング耐性: グリッドパターンマッチング方式の多要素認証（MFA）は、偽のログインページに入力される可能性のある静的なコードに依存しないため、フィッシング攻撃を受けにくいという利点があります。さらに、この方式はオフラインでも動作し、攻撃者が使用しようとする頃には無効になっている動的な乱数を使用します。
• アクセシビリティ： セキュリティ上の理由から、一部の業界では職場環境へのスマートフォンの持ち込みが禁止されているため、モバイル端末に依存しない多要素認証（MFA）方式が求められています。こうした職場環境の例としては、官公庁、防衛施設、OT（運用技術）インフラなどが挙げられます。

モバイルMFA方式は便利だが、極めて重要な施設においては、必ずしも最適な選択肢とは言えず、十分なセキュリティも確保できない可能性がある。

グリッドパターンマッチングMFA：モバイル端末に依存しない第二要素認証

グリッドパターンマッチングは、記憶に基づく多要素認証（MFA）方式であり、「既知の情報」を利用するものです。PIN、OTP、ハードウェアトークンではなく、パターンを記憶してパターンを想起するグラフィカルな認証プロセスです。

この多要素認証方式はWindows専用のソリューションであるため、ノートパソコンやデスクトップパソコンに最適であり、オフライン環境でも動作します。

仕組み：視覚パターン、動的コード、電話不要

お使いのデバイスでグリッドパターン認証を設定する手順は簡単です。その仕組みは以下のとおりです。

• ユーザー登録: ここでは、Windowsへのログイン時に、ユーザーに二要素認証（2FA）の設定を促します。この場合、2FAはグリッドパターンマッチング方式です。
• パターンの選択： 表示された番号付きグリッド（例：4×4または5×5）から、ユーザーはグリッド上のセルのシーケンス（秘密のパターン）を選択します。例えば、左上から2つ、中央から2つ、右下から2つなどです。
• パターンの確認： セルを選択した後、ユーザーは同じシーケンスを再度入力してパターンを確認します。システムはパターンを安全に保存します。ユーザーはログイン時にセルの数字ではなく、パターンを覚えておく必要があります。
• 認証： ユーザーがデスクトップまたはノートパソコンで認証情報を入力すると、2要素認証用のグリッドが表示されます。ユーザーは、保存済みのパターンと同じセルをクリックする必要があります。パターンが一致すれば、アクセスが許可されます。パターンが間違っている場合は、アクセスが拒否されます。

注：グリッドはログインするたびに変更されるため、数値コードは毎回異なります。ユーザーが記憶しているパターンのみが同じままです。

最適な適用環境：高度な制御が求められる、モバイル端末に依存しない環境

Windows端末が必要でありながらモバイル端末の使用が制限されている地域では、グリッドパターンマッチングがそのギャップを埋めます。この方法は以下のような場合に適しています。

• 教育施設: これには主に学校が含まれ、学校では携帯電話の使用は推奨されないか禁止されているが、教職員と生徒のログイン情報は安全に管理されなければならない。具体的には、実験室、試験会場、共有PCなどの環境が挙げられる。
• OT（運用技術）および産業インフラ： これらには、制御室のワークステーション、工場現場や倉庫のPC、エアギャップネットワークや低接続性ネットワークなどの環境が含まれます。
• 防衛分野： これには、指揮センター、兵器ステーション、空軍の滑走路や格納庫、記録室などが含まれ、施設内の録画を防ぐため、外部カメラ、無線機、個人用携帯電話の使用は禁止されています。これらの区域における機密情報を保護するため、グリッドパターンマッチングを導入することができます。
• 政府および公共部門のオフィス： グリッドパターンは、管理・バックオフィスシステム、現場事務所、市民サービスセンターにおいて信頼性の高い多要素認証（MFA）方式です。
• 銀行セクター： 金融機関は、SMSに頼ったり、厳格なデバイスポリシーを緩和したりすることなく、強力なMFA（グリッドパターン）によって保護されています。これには、現金保管庫、資金管理部門、オペレーションセンター、遠隔地にある支店などが含まれます。

これらの実用アプリケーションには、オフライン要件、Windowsログイン、重要な設定、モバイル非依存といった共通点があります。そのため、グリッドパターンはそれらすべてに対する妥当な解決策として機能します。

グリッドパターンが優れている理由：セキュリティ、使いやすさ、そして運用コストの削減

グリッドパターンを使用する意義は以下のとおりです。

• セキュリティ： プッシュ通知疲れ、SMS傍受、SIMスワップ、端末盗難などのリスクを排除します。
• ユーザビリティ： コードよりも覚えやすい視覚的なパターンを利用します。この方法により、ログインプロセス全体を同じ画面上で完結させることができます。
• 運用上の節約: 物理トークン、SMSによるワンタイムパスワード、通話認証、認証アプリに関連するコストを削減します。

これらの利点すべてにより、グリッドパターン方式は、極めて重要な環境において信頼性が高く安全な選択肢となります。

電話禁止区域における多要素認証のギャップを埋める

多要素認証はもはや必須事項となっているが、ほとんどのソリューションは依然として、すべてのユーザーが電話と信頼できるネットワークを持っていることを前提としている。しかし、この前提は学校、OT環境、防衛、政府機関、銀行、その他の高度な管理が求められる環境では当てはまらない。

グリッドパターンマッチングは、SMS、アプリ、ハードウェアトークンを必要とせず、Windowsログイン画面で直接、強力でモバイルに依存しない多要素認証を提供することで、このギャップを埋めます。

電話回線がない、または接続環境が不安定な環境で重要なWindowsエンドポイントを保護したい場合は、次のステップとして、少数のマシンでGrid Patternを試験的に導入し、ユーザーからのフィードバックを収集した後、リスクの高いデスクトップPCやノートPC全体に標準的なオフラインMFA方式として展開してください。

グリッドパターンマッチングのデモをご希望の場合、またはこの機能についてより深く理解されたい場合は、idpsupport@xecurify.comまでご連絡ください。