UCLA (カリフォルニア大学ロサンゼルス校) の学生に多要素認証が義務付け

アメリカのトップ大学の一つであるUCLA (カリフォルニア大学ロサンゼルス校) は、学生の個人情報保護ならびに情報セキュリティー強化のため、多要素認証 (Multi-Factor Authentication, MFA) を導入しました。以下でご紹介します。

 

 

セキュリティを優先し利便性を犠牲にしたUCLAの決断

UCLAの学内新聞である DAILY BRUIN に、「多要素認証で、UCLAは利便性と引き換えに情報セキュリティを優先」という記事が掲載されました。

UCLAでは、大学が提供する「My UCLA」という各個人のページ（マイページ）への認証に、IDとパスワードのみを利用していました。しかし、日常的に大学の情報基盤に対して攻撃が行われており、過去には学生の個人情報が侵害された例もあるため、多要素認証を導入したと公表しています。

具体的には、IDとパスワードでMy UCLAにログインする際、登録されている携帯電話でテキストメッセージを受信するか、電話を受け取る必要があるというものです。そして、My UCLAの利用から数時間が経過すると、再びテキストメッセージや電話を受け取ることが必要になります。

これに対しては、同大学のコンピューターサイエンスの教員から「数時間に一度、ではなく、数週間に一度で十分ではないか」という意見がある一方「やや遅れての導入だったが、世間にようやっと追いついて嬉しい」という声も上がっています。

なお、携帯電話を忘れてしまった場合は、学内のパソコンから学内ネットワークにログインできる一時的なトークンを提供することで対応しています。また、インターネットに接続せずに入力できるコードの提供も行っているとしています。

 

多要素認証 + シングルサインオンは時代の流れ

現在、多くのシステムやクラウドサービスでは、IDとパスワードに加えて、追加の情報を入力することでセキュリティを高める多要素認証の導入が増加しています。例えば、「SMSで送信された文字列を入力する」「物理トークンに表示された文字列を入力する」「指紋など生体認証を入力する」などです。

・参考リンク

ホワイトペーパー：多要素認証の種類と方法

　トラスト・ログイン用語集: 多要素認証

多要素認証は、IDとパスワードの入力に加えて、もうひと手間が必要になるというデメリットを乗り越えての導入となります。これは、どの組織も単に「複雑なパスワードを設定してください」「パスワードの使い回しは禁止です」と、各組織のセキュリティーポリシーを徹底する努力だけでは攻撃から守れないと考えていることの証左となります。

また、クラウド上のハードウェアリソースを大規模に使った攻撃など、かつては不可能だった規模の総当たり攻撃が簡単に行えるようになっていることもその一因と言えるでしょう。

・参考リンク
　ブルートフォース攻撃を阻止する方法とは

こうした背景から、多要素認証はスマートフォンの普及により増加の一途をたどっています。市場調査会社のレポートによると、2025年までに年率15%で成長し、グローバルの市場規模は177.6億ドル (1兆9300億円)規模にまで増大すると見込まれています（この金額には、導入費用、生体認証デバイスなどのハードウェア、ソフトウェア、クラウドサービスなどを含みます）。その中でも、最も高成長が見込まれているのが、日本を含めたアジア・太平洋地域となっています。

(市場調査に関する引用: https://www.grandviewresearch.com/press-release/global-multi-factor-authentication-mfa-market)

そして、多要素認証と同じく、クラウド時代の認証の多様化を背景としてニーズが急増しているのがシングルサインオンです。

クラウド型のシングルサインオンサービスを IDaaS (Identity as a Service) と呼びますが、このIDaaS市場は年率36.5%の成長を続けると見込まれています。新規のシステムを導入する際に、システムを自社構築することはほとんどなく、クラウドサービスをそのまま利用するケースが増えており、導入した複数サービスに対して認証を行う際のセキュリティーリスクを低減することができるためです。

教育機関においても、各クラウドベンダーが、教育機関用の安価なライセンスを提供することで導入の拡大ならびに実績づくりを積極的に行っています。例えば、クラウド型Eメールである「Gmail」を含めた各種クラウドサービスを教育機関向けに提供している「G Suite for Education」や、マイクロソフトの競合サービスである「Office 365 Education」などが良い例です。

こうしたサービスを利用する場合、学内の認証とは別の認証を行う必要があるため、複数の認証をどのように安全に行わせるかという観点が重要になります。ここでシングルサインオンが強い味方となります。

高度な研究技術情報を持っているが故に攻撃の対象となりやすい大学や研究所においては、UCLAが導入した多要素認証だけでなく、シングルサインオンを併用することは、機密情報を守るうえで重要となります。

 

 

多要素認証可能なシングルサインオン製品: トラスト・ログイン

GMOインターネットグループの、当社GMOグローバルサインが提供するクラウド型シングルサインオン製品 トラスト・ログイン は、組織内の独自の認証とクラウドサービスへの認証のどちらにおいてもシングルサインオンの利用が可能です。さらに、多要素認証を併用することができます（ワンタイムパスワード）。

クラウドサービスは、セキュリティ対策を十分に施すだけの体力がある企業が運営しないと、不正アクセスを許してしまう可能性がありますが、GMOグローバルサインはSSL認証局では国内最大手の企業で、長年に渡り情報セキュリティーの最前線に立ち続けているため、セキュリティーにおいて高く評価いただいています。

システムの「セキュリティ」、「可用性」、「処理の整合性（インテグリティ）」、個人情報の取り扱いにおける「機密性」、「プライバシー」の5点で、内部統制の国際認証である SOC2 Type2を取得しています。これは、半年以上に渡り上記5点を高いレベルに維持して運用することで初めて取得できる認証であるため、教育機関や研究機関でも安心してご利用頂けるサービスと自負しております。

ご登録頂ければ、今すぐに無料機能をお試し頂くことが可能です。貴組織において、多要素認証 (ワンタイムパスワード) が必要となった段階でご連絡頂ければ、有料導入前に評価も可能です。ぜひお試しください。