ワンタイムパスワードとは？仕組み・使い方・メリット・デメリットをわかりやすく解説

ID・パスワードによる一般的な認証のみでは、セキュリティ上のリスクが高いことは長く指摘されていました。ID・パスワードが流出するだけで、それが不正利用され大きな被害につながるからです。

ワンタイムパスワードは、ID・パスワード認証の欠点を補う新しい認証方式として登場しました。昨今ではワンタイムパスワードが、様々なシーンで使われている状況です。

本記事ではワンタイムパスワードとは何かといった基本から、仕組み・使い方・メリット・デメリットまでわかりやすく解説しています。

ワンタイムパスワードとは | 1回限り使えるパスワード

ワンタイムパスワードとは、文字通り1回限り使えるパスワードによる認証方法です。一般的にワンタイムパスワードでは、認証をおこなう際に使い捨てのパスワードが発行されます。

次回の認証では、すでに発行済のパスワードは使えません。改めて新しいパスワードを発行しなおす必要があります。

またワンタイムパスワードの有効期間は、1分や10分などごく短時間です。有効期間内に認証を行わないと、そのパスワードは使えなくなります。

インターネットバンキングなどのWebサービスが開始された当初は、IDとパスワードによる認証のみ求めるケースが一般的でした。昨今では、ID・パスワードによる認証に加え、ワンタイムパスワードでの認証が必要となるWebサービスが多くなっています。

ワンタイムパスワードの仕組み

ワンタイムパスワードの仕組みは複数あります。ここでは、なかでもよく使われる4つの方式をみていきましょう。

チャレンジレスポンス方式

「チャレンジ（暗号鍵）」と呼ばれるランダムな文字列を使い、ワンタイムパスワード（「レスポンス」）を生成する方式です。

チャレンジレスポンス方式では、ユーザーが認証を要求すると認証サーバーがチャレンジを生成しユーザーに返します。ユーザーはチャレンジに対して、事前に決められた演算処理を加えたレスポンスを生成し認証サーバーに送り返すのです。

認証サーバーは、ユーザーが生成したレスポンスとサーバー自身で計算した値を照合し、一致していれば認証が成功します。

時刻同期方式 (タイムスタンプ方式)

認証時の時刻によって、ワンタイムパスワードを生成する方式です。

時刻同期方式 (タイムスタンプ方式)では、時刻ごとに異なるワンタイムパスワードが生成されます。認証サーバーは、ユーザーから送られてきたワンタイムパスワードと生成時の時刻を照合し、正しければ認証が成功するのです。

認証サーバーは、ユーザーごとに用意された時刻・ワンタイムパスワードの組み合わせを把握しています。

カウンタ同期認証方式

ワンタイムパスワードの発行回数によって、新しいワンタイムパスワードを生成する方式です。

カウンタ同期認証方式では、発行回数ごとに異なるワンタイムパスワードが生成されます。認証サーバーは、ワンタイムパスワードと発行回数を照合し、正しければ認証が成功するのです。認証サーバーは、ユーザーごとに用意された発行回数とワンタイムパスワードの組み合わせを把握しています。

なお時刻同期方式とカウンタ同期方式の違いは、ワンタイムパスワードを生成するのに時刻と発行回数のどちらを使うかだけです。

マトリクス方式

ランダムな文字・数字が入力された「マトリクス表」によって、ワンタイムパスワードを生成する方式です。

マトリクス方式では、ユーザーが認証を要求すると画面に新しいマトリクス表が表示されます。ユーザーはあらかじめ決めたパターンにもとづいて、ワンタイムパスワードを生成するのです。(例：表の左上から表の右下に向かって、数字・文字列を組み合わせる）

認証サーバーは、マトリクス表とパターンの組み合わせを照合し、正しければ認証が成功します。

ワンタイムパスワードの主な使い方

ワンタイムパスワードの使い方・発行方法も複数の種類があり、サービスなどによって使われる種類が異なります。ここでは、主な使い方・発行方法をみていきましょう。

専用トークンで発行する方法

「トークン」と呼ばれる、専用の小さなハードウェアを使う方法です。トークンのボタンを押すと、その時点で有効なワンタイムパスワードが表示されます。

トークンは万が一紛失してしまうと、悪意のある第三者に不正利用される可能性も否定できません。また電池切れや破損などで、使いたいときに使えなくなる不便さもあります。そのため、最近では次に紹介するスマートフォンアプリが代用されるケースが多いです。

スマートフォンアプリで生成する方法

専用のスマートフォンアプリで、ワンタイムパスワードを生成する方法です。アプリを操作すると、その時点で有効なワンタイムパスワードが表示されます。

ワンタイムパスワード用の代表的なアプリとしてあげられるのが、Google社が無料で提供している「Google認証システム（Google Authenticator）」です。Google認証システムはGoogleの各種サービスをはじめ、Amazonなど他サービスでも利用されています。社内でワンタイムパスワードを導入する際も、Google認証システムを採用することが可能です。

メールで受信する方法

WEBサービスなどにあらかじめ任意のメールアドレスを登録しておき、サーバーが生成したワンタイムパスワードをメールで受信する方法です。スマートフォンアプリを使う方法の方が手軽ですが、メールであればアプリのインストールも不要でより汎用的に利用できます。

SMSで受信する方法

メールの代わりにSMSで、ワンタイムパスワードを受信する方法です。この方法による認証が使われている場合、パソコン用のWEBサービスを利用する際も、SMSを受信するためのスマートフォンが必要になります。

音声（電話）で確認する方法

電話による音声で、ワンタイムパスワードを通知する方法です。この方法では認証の際、事前に登録した電話番号宛てに電話がかかってきます。そうして機械音声によってワンタイムパスワードが通知されるのです。

音声でワンタイムパスワードを確認する方法は、アプリやメールアドレスによる認証が使えない場合の代替手段としてよく使われます。

よく選ばれるワンタイムパスワードの導入方法

企業がワンタイムパスワードを導入する方法として、よく選ばれているのがIDaaS（Identity as a Service）です。IDaaSはIdentity as a Serviceの略で、クラウド上でID管理やID認証などの機能を提供するサービスを指します。IDaaSを使えば既存のサーバーやサービスと連携してIDを一元的に管理できる他、ワンタイムパスワードによる認証を追加することも可能です。

またクラウド環境に専用のアプライアンスを導入して、社内サーバーと連携させワンタイムパスワードを実現する方法もあります。それぞれコストや適切な規模などが異なるため、自社の運営にあったものを選ぶようにしましょう。

なお、カゴヤのサービスでは、VPS・FLEX(クラウドサーバー、ベアメタルサーバー)に専用アプライアンス（Powered BLUE）を導入して、ワンタイムパスワードをはじめとする認証機能を自社サービスに追加できます。Powered BLUEの概要については別記事で紹介しておりますので、興味があればあわせてご覧ください。

ワンタイムパスワードの利用シーン

認証のセキュリティを向上させるため、ワンタイムパスワードが使われるシーンが多くなりました。ここでは、なかでも代表的な利用シーンをみていきましょう。

インターネットバンキング

ワンタイムパスワードの利用シーンとして、代表的なのがインターネットバンキングです。インターネットバンキングでは、ID・パスワードが流出して悪意のある第三者に利用されると、甚大な被害が発生する可能性があります。そこでワンタイムパスワードを組み合わせて、セキュリティの強化をはかっているのです。

インターネットバンキングでは、振込や外国送金などの際にワンタイムパスワードによる認証が求められます。また最近では、専用のスマートフォンアプリを使ってワンタイムパスワードを運用するインターネットバンキングが多いです。

VPNの利用時（リモートワークなど）

働き方改革などによって、企業がリモートワークを導入するケースが増えています。リモートワークでは、VPNによってセキュアに社内ネットワークへログインする例が多いです。このときの認証方法の1つとして、ワンタイムパスワードが採用されています。

クラウドサービス

Webメールなどのクラウドサービスでは、ログイン時にID・パスワードの認証に加えてワンタイムパスワードを組み合わせる例が増えています。また、サービスの新規登録の際に、ワンタイムパスワードによる認証を求めるクラウドサービスも少なくありません。

オンラインショッピング

オンラインショッピングでは、ID・パスワードが流出し悪意のある第三者に商品を不正に購入されてしまうケースがあとを絶ちません。そこで、決済時にワンタイムパスワードによる認証を求めるオンラインショッピングが増えています。

仮想通貨/暗号資産

仮想通貨（暗号資産）のサービスでは、ID・パスワードの流出によって仮想通貨が悪意のある第三者に奪われるケースが少なくありません。仮想通貨は、利用者にとって銀行の預金と同様の大事な資産です。そのため銀行と同等のセキュリティが求められます。

仮想通貨サービスではワンタイムパスワードを採用して、二要素認証（多要素認証）※を実現する仮想通貨のサービスが増えている状況です。

※種類が異なる2つ以上の認証方法を組み合わせる方法

ワンタイムパスワードを使うメリット4つ

ワンタイムパスワードによって認証時のセキュリティが強化されますが、メリットはそれだけではありません。ここでは、ワンタイムパスワードを使う代表的なメリットを4つみていきましょう。

ユーザーに大きな負担をかけることなくセキュリティが向上する

ワンタイムパスワードを使うことで、ユーザーに必要以上の負担をかけることなく、認証時のセキュリティを向上させることが可能です。

認証時の作業を増やせば、その分だけユーザーの負担が増えるのは否めません。けれどワンタイムパスワードによる認証自体は簡単で、ユーザーにかかる負担はわずかです。

パスワードが流出してしまったときのリスクを軽減できる

仮にパスワードが流出しても、ワンタイムパスワードを採用しておけば不正利用のリスクを軽減可能です。

ID・パスワード認証のみの場合、IDやパスワードが流出すると悪意のある第三者に不正利用されてしまう可能性があります。ワンタイムパスワードも導入しておけば、仮にID・パスワードが流出しても、それだけでユーザーの被害が生じることはありません。

また仮にワンタイムパスワードが流出しても、そのパスワードは次回認証時には使えなくなるのです。またワンタイムパスワードの有効期間は短いため、流出した場合にもすぐに無効となります。

このようにパスワード流出時のリスクを大幅に軽減できる点も、ワンタイムパスワードを導入する大きなメリットです。

汎用性が高く様々なシーンで利用できる

ワンタイムパスワードは汎用性が非常に高く、デバイスやサービスを問わず様々なシーンで利用できます。その汎用性の高さから、ネットバンキングやオンラインショッピング、Webメールをはじめとした各種SaaSなど多くのシーンで活用されているのです。

管理者の負担を軽減できる

ワンタイムパスワードであれば、セキュリティ強化に必要な管理者の負担を軽減可能です。

ID・パスワードの認証を運用する場合、管理者はユーザー数分のID・パスワードを管理しなくてはなりません。ユーザーが増えれば増えるほど管理が必要となるID・パスワードの組み合わせも増えてしまいます。またユーザーがID・パスワードを忘れたり紛失したりしたとき、管理者がそのサポートを任されるケースも少なくありません。

一方でワンタイムパスワードなら、管理者はユーザーのID・パスワードを管理する必要がありません。仮にユーザーがパスワードを失念しても、ユーザー自身で簡単に再発行が可能なので管理者によるサポート負担も大幅に軽減されます。

そのためワンタイムパスワードであれば、認証強化による管理者負担を軽減することができるのです。

ワンタイムパスワードを使うデメリット2つ

ワンタイムパスワードは多くのシーンで利用されていますが、デメリットにも注意しなくてはなりません。ここでは、ワンタイムパスワードを採用する際に、注意が必要となる2つのデメリットをみていきましょう。

ユーザーが認証をおこなう際の手間が増える

パスワード認証に加えワンタイムパスワードによる認証を採用した場合、ユーザーがおこなうべき認証のプロセスが増えます。その結果として、ユーザーの手間が増えてしまうのは否めません。

ワンタイムパスワードによる認証作業自体は簡単ですが、毎回異なるパスワードを確認・入力することに負担を感じるユーザーもいるでしょう。

ワンタイムパスワードでも以下の場合はリスクを防げない

ワンタイムパスワードを導入しても、認証のプロセスが確実にセキュアな状態となるわけではありません。またワンタイムパスワードによって、予防できないWebサービス上のリスクがある点も注意が必要です。以下にあげるケースでは、セキュリティ上のリスクを防ぐことはできません。

フィッシング詐欺

フィッシング詐欺とは、有名企業の公式サイトと酷似した偽サイトへユーザーを誘導し、個人情報を盗み取る詐欺の手法です。

悪意のある第三者は、まず有名企業を送信元として騙る偽メールをユーザーへ送り、メール内のリンクから偽サイトへ誘導します。ユーザーが詐欺と気づかず偽サイトへアクセスし、画面の指示に従って個人情報を入力するとそれが盗まれてしまうわけです。フィッシング詐欺によって、クレジットカード番号などの重要な個人情報が盗まれてしまう被害があとを絶ちません。

ユーザーがフィッシング詐欺に引っかかってしまうと、ワンタイムパスワードも悪意のある第三者に盗まれてしまう可能性があります。たとえばインターネットバンキングであれば、フィッシング詐欺によって盗まれたワンタイムパスワードを、有効期限内に使われる可能性もあるのです。この場合、不正に現金を引き出されるなどの被害が想定されます。

ウィルス・マルウェア感染

ワンタイムパスワードは、ウィルスやマルウェア感染による被害を防げるとは限らない点も注意が必要です。ウィルス感染により意図しない端末の動作が実行された場合は、ワンタイムパスワードによる認証が正常でも被害は防げません。

実際、マルウェアを使ったMITBと呼ばれる攻撃がよく知られています。MITBにおいてマルウェアは、ユーザーがネットバンキングを利用した際に、取引内容を不正に書き換えるのです。その結果、攻撃者が用意した口座へ送金がおこなわれてしまいます。

盗聴

盗聴によって、ワンタイムパスワードが盗まれてしまう可能性があります。たとえばメールでワンタイムパスワードを送信するケースでは、メールが盗聴されることでワンタイムパスワードも流出してしまうわけです。

また端末に感染したウィルスが、メールで届いたワンタイムパスワードを盗み見て攻撃者へ伝えるといった事例もあります。

ワンタイムパスワードのセキュリティ性を高める方法

ワンタイムパスワードによって認証のセキュリティは向上しますが、それで確実に被害を防げるわけではありません。ワンタイムパスワードが流出するなどして、被害が生じる可能性はあります。ここでは、ワンタイムパスワードのセキュリティ性を高める方法をみていきましょう。

フィッシング詐欺の被害を防ぐための従業員教育

研修などによって、フィッシング詐欺の手口や見分け方について従業員に把握してもらうことで、セキュリティが向上します。

フィッシング詐欺で、ワンタイムパスワードが流出してしまう可能性があるのは否めません。従業員教育によってフィッシング詐欺のリスクが軽減されれば、ワンタイムパスワードのセキュリティ性も向上するわけです。

ウィルス対策を徹底する

仮に端末がウィルスに感染してしまった場合、ワンタイムパスワードの認証が正常でも被害を防げるとは限りません。OSやアプリケーションを最新の状態にする、セキュリティソフトを導入するといったウィルス対策を徹底することで、リスクの軽減が可能です。

「トランザクション署名」を導入する

「トランザクション署名」を導入することで、ワンタイムパスワードのセキュリティ性を向上させられます。

トランザクション署名は、昨今ではインターネットバンキングなどで採用されている認証方式です。トランザクション署名では、振込先・振込額といった情報をもとにワンタイムパスワードを生成します。このワンタイムパスワード自体が、ユーザーが取引したい内容を証明するトランザクション署名になるのです。

トランザクション署名を導入することで、ユーザーの意図しない取引がおこなわれようとしても、異変を察知することができます。その結果、不正な送金などを防げるようになるわけです。トランザクション署名は、前述したMITB攻撃を防ぐ対策として採用されています。

多要素認証（二要素認証）を採用する

「多要素認証」とは、以下3つの認証に関する要素から、2つ以上を組み合わせる認証方式です。2つの要素を組み合わせた認証方式を「二要素認証」と呼ぶこともあります。

要素の種類	概要	認証方法の具体例
知識要素	ユーザーだけが知っている情報をもとに認証をおこなう方法	・パスワード ・PINコード ・秘密の質問
所有要素	ユーザーだけが所有するモノを使って認証を実施する方法	・トークン ・スマートフォン ・ICカード
生体要素	ユーザーの生体情報をもとに認証をおこなう方法	・指紋 ・顔 ・静脈

ユーザーのスマートフォンに通知されたりトークンを使って生成されたりするワンタイムパスワードは、上記のうち所有要素に該当します。そのうえで生体要素や知識要素による認証を組み合わせることで、多要素認証が実現するのです。これによって認証のセキュリティ性が向上します。

ワンタイムパスワードと比較される認証方法

ワンタイムパスワード以外にも、従来からのID・パスワードによる認証にかわる方法はいろいろと登場しています。ここでは、なかでもワンタイムパスワードとよく比較される認証方法の概要とそれらのメリット・デメリットをみていきましょう。

生体認証

生体認証とは、人それぞれで完全にユニークな身体的特徴を使って認証をおこなう方法です。具体的には、顔認証や指紋認証、静脈認証などがあげられます。

これら身体的特徴はなりすましが困難で、セキュアな認証を実現できる点が大きなメリットです。また生体認証であれば、ワンタイムパスワードのようにトークンやスマートフォンアプリなども必要ありません。その分、ユーザーにとって手軽に使える点もメリットと言えます。

一方、生体認証では一度情報が流出すると対応が難しいのが難点です。生体認証の場合、ID・パスワードが流出したときのように、データを再発行することはできません。

また身体の変化に対応できない場合がある点も、生体認証のデメリットとしてあげられます。たとえば指紋が薄くなったり、太って顔が大きくなったりすると、正常に認証できなくなる可能性があるのです。その際は、認証情報を再登録するなどの対応が必要となります。

スマート認証

スマート認証とは、スマートフォンを使った認証方法です。スマート認証ではログインや振込など認証が必要な作業をおこなうと、登録済のスマートフォン宛に認証を許可するか確かめる通知が届きます。スマートフォンにて通知に従い認証を許可すると、認証が成功する仕組みです。

スマート認証では、手元に登録済のスマートフォンがないと認証ができないことから、導入によってセキュリティが向上します。一方で、スマートフォンを紛失したり破損したりした場合は、専用アプリの設定をし直さなくてはなりません。

CAPTCHA認証

CAPTCHA認証とは、ロボットでなく人間による操作であるかを確かめるための認証方法です。CAPTCHA認証では、人間でないと判別が難しいゆがんだ文字列や画像を使い認証をおこないます。たとえば画面にゆがんで読みにくいアルファベットを表示し、そのアルファベットを入力させるのです。画面の表示通りに入力が成功していれば、ロボットでないと認証されます。

CAPTCHA認証は、人による不正アクセスを防ぐ認証方法ではありません。しかしボットによる不正なログインなどの攻撃を防ぐことが可能です。

一方で認証時に表示される文字や画像は人間でも読みにくい場合があり、ユーザビリティが損なわれる可能性がある点はデメリットといえます。

ワンタイムパスワードについてよくある質問

今ではワンタイムパスワードが様々なシーンで採用されており、多くのユーザーが利用しています。ここでは、ワンタイムパスワードについて、ユーザーからよくあがる質問をいくつかみていきましょう。

ワンタイムパスワードを忘れたらどうしたらいい？

ワンタイムパスワードを忘れても、新しく発行されたものを使えば特に問題ありません。

ワンタイムパスワードは、短い間隔で常に新しいものに更新され続けます。そのため古いパスワードはすぐに無効となり、常に最新のものを使う必要があるのです。

ワンタイムパスワードを発行しているスマートフォンの機種変更は可能？

はい、機種変更をしても問題ありません。

機種変更をする場合は、古いスマートフォン側で専用アプリを削除します。次に新しいスマートフォン側で専用アプリをインストールし、機能を有効にすれば作業は完了です。新しいスマートフォンにてワンタイムパスワードを利用できるようになります。

なおスマートフォンの機種変更にあわせ電話番号も変更する場合は、別途、新しい電話番号の登録作業が必要です。

トークンを紛失したら、どうすればいい？

トークンを紛失してしまった場合、ワンタイムパスワードを不正利用されてしまうリスクがあるので速やかに紛失手続きをしましょう。手続き後、紛失したトークンは無効となります。その後、改めて再発行の手続きをしてください。

トークンの電池が切れたらどうすればいい？

ワンタイムパスワード用のトークンが電池切れとなった場合、一般的には電池交換ができません。新しいトークンを買い直す必要があります。

なお、昨今ではより便利に使えるスマートフォンアプリへ切り替えるケースも多いです。詳細はサーバー管理者、もしくはサービスのサポートセンターまでお問い合わせください。

ワンタイムパスワードは「意味がない」と言われたが本当？

昨今では、以下のようにワンタイムパスワードのセキュリティ性が脅かされているのは否めません。

実際、ワンタイムパスワードによってセキュリティを保持してきたインターネットバンキングにおいて、不正送金などの被害が生じています。そのため、「ワンタイムパスワードは意味がない」と一部で言われているのです。

しかし、これでワンタイムパスワードの意味がなくなったわけではありません。以下の対策をすることで、ワンタイムパスワードのセキュリティ性を向上させることは可能です。

ワンタイムパスワードが破られた事例はある？

以下のように、ワンタイムパスワードが流出した事例があります。

・フィッシング詐欺による事例
フィッシング詐欺によって、ユーザーがネットバンキングに似せた偽サイトでワンタイムパスワードを入力してしまう事例が発生しています。この結果、不正な送金が発生するなどの被害が生じているのです。

・ウィルスによる事例
端末に感染したウィルスが、メールやSMSで送信されたワンタイムパスワードを盗み取る事例が発生しています。ワンタイムパスワードが盗み取られた結果、インターネットバンキングから不正送金されてしまうような事例が発生しているのです。

また、ワンタイムパスワード自体は流出していなくても、感染力が強い「Emotet（エモテット）」というウィルスに起因する事例もありました。

Emotetは、メールの添付ファイルを開いた際に感染します。そのうえでEmotetは、インターネットからZloader（ゼットローダー）と呼ばれるウィルスを取得するのです。

Zloaderは、感染したPCにて「MITB（Man in the Browser）攻撃」をおこないます。MITBとは、ユーザーがネットバンキングを使う際に、ブラウザ上の画面を書き換える攻撃です。

具体的には、振込先を改ざんして預金を盗みます。この攻撃は認証が成功したあとにおこなわれるので、ワンタイムパスワードでは防げません。MITBによる攻撃は、様々なネットバンキングで発生しており、多くのユーザーが被害を受けています。

ワンタイムパスワードにかわる認証方法はある？

ワンタイムパスワード以外にも様々な認証方法が登場していますが、なかでも有力な認証方法の例として以下があげられます。

・生体認証
指紋や顔、静脈など個々人がもつ完全にユニークな身体情報を使った認証方法です。昨今では、低コストで生体認証を実装可能なシステムも登場しています。

・トランザクション署名
ネットバンキングにおいて、振込先・振込金額などの情報を使いワンタイムパスワードを生成する認証方法です。前述のMITB攻撃により振込先が書き換えられた場合でも、不正な送金が実行されるのを未然に防ぐことが可能です。

まとめ

ワンタイムパスワードは、ごく短い時間に限り1回だけ使える使い捨てのパスワードです。従来のID・パスワードによる認証と異なり、仮にワンタイムパスワードが流出しても短い時間ですぐに使えなくなります。そのためワンタイムパスワードを導入することで、認証のセキュリティを大幅に向上できるのです。

一方で、昨今ではこのワンタイムパスワードがフィッシング詐欺などで流出し、被害が生じているのは否めません。認証後におこなわれるマルウェアの攻撃によって、被害が発生した例もあります。

セキュリティを強化するには、フィッシング詐欺に関する研修の開催や認証方法の再構成といった対策が必要です。認証のセキュリティを確保するためにも、ワンタイムパスワードのリスクを把握し、適切な対策を検討しましょう。