SG2027New情報セキュリティ対策 · 技術的管理策に関する技術・手法（情報アクセスの管理）

ワンタイムコード

One-Time Code

わんたいむこーど

ログインや本人確認の際に、登録済みのメールアドレスやSMS宛てに送られる、短時間だけ一度限り有効な確認コード。パスワードの代わりに入力させることでパスワードレスのログインを実現するが、偽サイトに入力させて中継する手口には注意が要る。

共有:

関連キーワードの用語

FIDOアライアンスが策定したパスワードレス認証の規格で、W3CのWebAuthnと、認証器と端末の間の通信を定めるCTAPからなる。登録時に認証器が生成した鍵ペアの公開鍵をサーバに登録し、認証時は端末上の生体認証やPINで本人を確かめてから、秘密鍵で署名した応答をサーバが公開鍵で検証する。秘密鍵が端末の外に出ず、署名がサイトのドメインに結び付くので、パスワードの漏えいやフィッシングに強い。

APWebAuthn

Webブラウザから認証器を使って、公開鍵暗号によるパスワードレス認証を行うためのAPIを定めたW3Cの標準で、FIDO2を構成する仕様の一つ。Webサイトは登録時に認証器が生成した公開鍵を保存し、ログイン時にはサーバが発行したチャレンジに認証器が秘密鍵で付けた署名を検証する。署名はサイトのドメインに結び付けられるため、偽のサイトでは使えない。