オンラインでの本人確認の方法が変わりつつあります。EUはeIDAS 2.0に基づいてEUDI Walletの導入を進めており、米国でも複数の州がモバイル運転免許証の試験運用を行っています。いずれも、なりすまし被害の増加と、利用者のログイン情報を一元管理するデータベースで流出が相次いでいることを受けた動きです。こうした流出が続く中、アクセスに必要な証明をサーバー側から本人側へ移すシステムが増えています。
ブロックチェーン認証とは、企業のデータベースにまとめて保存されたパスワードではなく、ブロックチェーンに記録された暗号鍵を利用して人やデバイスを認証する方法です。システムはサーバー側でパスワードを照合するのではなく、本人だけが持つ秘密鍵で作成したデジタル署名を検証します。秘密鍵は本人の手元にあり、対応する公開情報は分散型台帳に記録されます。この記録は、特定の企業や個人の一存では書き換えられません。ブロックチェーン技術の基本を押さえておくと、この仕組みを理解しやすくなります。ブロックチェーンとは、1台ではなく多数のコンピューターで共有・保管される、改ざんされにくい記録です。なお、ブロックチェーン認証で証明できるのは鍵を管理していることであり、AIではなく実在する一人の人間であることの証明とは異なります。
ブロックチェーン認証は、パスワードではなくデジタル署名によってアクセスを認証する方法です。署名は企業のサーバーではなく、改ざんが困難な分散型台帳の記録と照合されます。わずかな違いに見えますが、セキュリティの仕組みは根本から変わります。従来のログインでは、パスワードやそれを変換した値を1か所に集約して保存するため、そこが攻撃の標的となりやすくなります。一方、鍵を利用した認証では、秘密鍵は本人のみが保持し、外部に送信されることもありません。そのため、攻撃の標的となる保管場所自体が存在しません。
ブロックチェーン認証は、関連する次の2つの概念と区別すると理解しやすくなります。
DIDとSSIはいずれも、ブロックチェーン認証と同じ技術要素を基盤としており、標準化団体による規格化も始まっています。W3CのVerifiable ProofsおよびDecentralized Identifiersの標準仕様では、事業者側のアカウントデータベースを介さずに認証情報を発行、保持、検証する方法が規定されています。また、一部のシステムではスマートコントラクトを組み合わせ、認証情報の発行や検証の一部を自動化しています。これにより、ルールは企業の裁量ではなく、あらかじめ定められたとおりに実行されます。
パスワードは、本人とサービスが共有する秘密情報です。本人が記憶し、サービス側でも保存されているため、保存先に侵入されると第三者に不正利用されるおそれがあります。パスワードを集約して保存するデータベースが、攻撃者にとって価値の高い標的となるのはこのためです。これに対し、鍵を利用した認証では、秘密鍵が本人の管理下から離れることはありません。サービス側が確認できるのは、署名と公開鍵のみです。
ただし、この方式には課題もあります。鍵によって証明できるのは、保有者がその鍵を管理していることのみです。保有者が誰であるか、またAIではなく一人の人間であるかまでは証明できません。
ブロックチェーン認証では、秘密鍵でリクエストに署名し、その署名を公開鍵およびブロックチェーン上の記録と照合して検証します。処理の流れは短く、秘密鍵が外部に送信されることもありません。そのため、盗まれるおそれのあるパスワードそのものが不要になります。多くの場合、認証は次の3つのステップで行われます。
まず、公開鍵と秘密鍵からなる鍵ペアを生成します。公開鍵は他者と自由に共有できますが、秘密鍵は誰にも共有せず、本人のみが保管します。これはウォレットアドレスで利用される公開鍵と秘密鍵とほぼ同じ仕組みです。公開鍵は本人の識別に、秘密鍵は操作の承認に用いられます。
次に、公開鍵に紐づけられた認証情報または識別子をブロックチェーンに記録します。ブロックチェーンは多数のコンピューターで共有され、改ざんが困難なため、この記録を特定の企業や個人の一存で変更・削除することはできません。これにより、仲介する管理者がいなくても、後のステップで行う検証の結果を信頼することができます。
最後に、アクセス時には秘密鍵でリクエストに署名します。サービス側は、その署名を公開鍵およびブロックチェーン上の記録と照合し、一致すればアクセスを許可します。パスワードのやり取りが発生しないため、通信の途中で攻撃者に盗まれる情報も存在しません。
一部のシステムでは、ゼロ知識証明を用いてプライバシー保護を強化しています。ゼロ知識証明とは、元のデータを開示することなく、ある事柄が正しいことを証明できる暗号技術です。たとえば、認証情報の中身を明かさずに、有効な認証情報を保有していることを証明できます。記録は公開され改ざんも困難なため、検証の正しさを誰でも確認できます。一方、証明そのものによって本人の情報が公開されることはありません。
ブロックチェーン認証は、すでに複数の分野で実用化されています。いずれも、鍵を管理していることを証明するという考え方に基づいています。代表的な導入事例は、主に次の分野に分けられます。
現在、特に注目されているのが分散型アイデンティティの取り組みです。eIDAS 2.0に基づくEUのEUDI Walletに関する研究では、欧州全域での導入の概要が示されています。この仕組みでは、各サービスがログイン情報を保有するのではなく、本人が証明を自ら保持し、必要に応じて提示します。パスワードレス認証も、規模は小さいものの同じ考え方に基づいています。鍵そのものがログイン手段となるため、フィッシングによる窃取や再設定の対象となる、パスワードのような共有の秘密情報が存在しません。
ただし、上記のすべての例には共通する課題があります。いずれも鍵を管理していることは証明できますが、それだけでは、その鍵がAIではなく実在する一人の人間に紐づいているかまでは証明できません。ボットやシビル攻撃は、この弱点を突いて行われます。
ブロックチェーン認証は有用な仕組みですが、課題も残されています。
鍵の管理は、多くの利用者が実際に問題に直面しやすい点であるため、改めて詳しく説明します。攻撃の標的となる保管場所が存在しない仕組みでは、管理者側で再設定する手段も存在しません。そのため、暗号資産を安全に保管し、秘密鍵を保護するための日頃の習慣が、最も重要な防御策となります。
最も根本的な課題は、仕組みそのものにあります。鍵で証明できるのは保有の事実であり、人間であることではありません。1人が多数の鍵を保有できるため、シビル攻撃の余地が生じます。シビル攻撃とは、1人の攻撃者が多数のアカウントを作成し、不当に大きな影響力を得る攻撃です。署名の仕組みをどれほど工夫しても、それだけではこの課題を解決できません。数学的な検証で確認できるのは鍵のみであり、人間であることは確認できないためです。
鍵で証明できるのが保有の事実のみであれば、1つのアカウントがAIではなく実在する一人の人間に紐づいていることを、プラットフォームはどのように確認すればよいのでしょうか。鍵を利用した認証だけでは、この問いに答えることはできません。この役割を担うのが人間であることの証明であり、個人を特定することなく、AIではなく実在する一人の人間であることを確認できます。
World IDは、この考え方を実用化した代表的な仕組みです。利用者はOrbで一度認証を受けるだけです。Orbは顔と目の画像を撮影し、AIではなく一人の人間であることを確認します。認証後、撮影したデータは暗号化されて本人のスマートフォンに送信され、Orbからは削除されます。そのため、人間であることの証明はデータベースに集約されることなく、本人が管理するWorld App内に保管されます。
その後のプライバシー保護は、次の2つの仕組みによって実現されます。
こうした認証済みの人間による活動は、実在する人間のためのブロックチェーンであるWorld Chain上で行うことができます。World Chainでは、AIではなく一人の人間であることの証明が、アプリごとに後付けする機能ではなく、基盤の一部として組み込まれています。鍵は保有の事実を、人間であることの証明はAIではなく一人の人間であることを確認します。両者を組み合わせることで、プライバシーを保護しながら、実在する人間によるアクセスを実現できます。
ブロックチェーン認証とは、企業のデータベースに集約して保存されたパスワードではなく、ブロックチェーンに記録された暗号鍵を利用して人やデバイスを認証する方法です。システムは、秘密鍵で作成したデジタル署名を、公開鍵およびブロックチェーン上の記録と照合して検証します。秘密鍵は本人のみが保管し、パスワードを集約して保存する場所もないため、通信の途中やサーバー上で攻撃者に盗まれる情報が存在しません。
ブロックチェーン認証は、3つのステップで行われます。まず、公開鍵と秘密鍵からなる鍵ペアを生成し、秘密鍵は誰にも共有せずに保管します。次に、公開鍵に紐づけられた認証情報を、改ざんが困難な台帳に記録します。最後に、アクセス時に秘密鍵で署名します。サービス側はその署名を公開鍵およびブロックチェーン上の記録と照合し、一致した場合にのみアクセスを許可します。
パスワードは本人とサービスが共有する秘密情報で、サービス側に集約して保存されています。そのため、保存先に侵入した第三者に不正利用されるおそれがあります。ブロックチェーン認証では、秘密鍵を誰にも共有せず本人のみが保管するため、サービス側が確認できるのは署名と公開鍵のみです。ただし、鍵の管理は本人の責任となります。攻撃の標的となるデータベースが存在しない一方で、鍵を紛失しても管理者側で再設定する手段が存在しません。
ブロックチェーン認証は、自己主権型アイデンティティのウォレットや分散型アイデンティティのシステムで、すでに実用化されています。代表的な例として、EUのEUDI Walletや、米国の複数の州で行われているモバイル運転免許証の試験運用が挙げられます。このほか、パスワードレス認証、ブロックチェーン上のアドレスを利用したWeb3サインイン、卒業証書や高級品などの真正性確認にも活用されています。いずれの場合も、保存されたパスワードを照合するのではなく、鍵を管理していることを証明する点が共通しています。
ブロックチェーン認証には、スケーラビリティとコストの問題、管理者側で再設定できない鍵の管理の難しさ、公開台帳の記録が永続的に残る点といった課題があります。最も根本的な課題は、仕組みそのものにあります。鍵で証明できるのは保有の事実のみで、人間であることは証明できません。そのため、1人が多数の鍵を保有し、多数のアカウントを操作するシビル攻撃の余地が残ります。人間であることの証明は、AIではなく実在する一人の人間であることを確認し、この課題を解決します。これを実用化したWorld IDでは、個人を特定することなく、AIではなく実在する一人の人間であることを証明できます。
ブロックチェーン認証では、攻撃者が狙うパスワードの保管場所が存在せず、秘密鍵がネットワーク経由で送信されることもありません。そのため、多くの情報流出のリスクを排除できます。ただし、主なリスクは利用者自身に移ります。秘密鍵を紛失しても、サポート窓口に再設定を依頼することはできません。安全に利用するには、鍵を慎重に管理し、オフラインで安全に保管することが重要です。
多くの場合、代わりになります。パスワードレス認証では、ユーザー名とパスワードを一切用いず、鍵のみで認証します。これにより、フィッシングによる窃取、使い回し、データベースからの流出の対象となる、パスワードのような共有の秘密情報が不要になります。ただし、ブロックチェーン認証だけでは、その鍵がAIではなく実在する一人の人間に紐づいているかまでは確認できません。そのため、実在する人間であることの確認を加える手段として、人間であることの証明を組み合わせる例が増えています。
ブロックチェーン認証では、認証の信頼性を支える仕組みが、攻撃の標的となるデータベースから本人が管理する鍵へと移ります。この変化は、分散型アイデンティティ、パスワードレス認証、Web3サインインの分野ですでに実用化されています。スケーラビリティ、鍵の管理、公開台帳の記録が永続的に残る点といった課題には引き続き取り組みが必要ですが、この仕組みはすでに欧州全域で実際の証明を扱える水準に達しています。鍵と人間であることの証明は、それぞれ異なる役割を担います。鍵は「その鍵を保有しているか」を、人間であることの証明は「AIではなく実在する一人の人間であるか」を確認します。両者を組み合わせることで、プライバシーの保護と実在する人間によるアクセスを両立したインターネットの実現に近づきます。これはWorldが掲げる使命にも沿っています。
Blockchain
スマートコントラクトとは何か、仕組みや実社会での活用例、利点と課題、そしてWorld IDがいかにスマートコントラクトに信頼性を付与するかについて、完全ガイドで解説します。
Blockchain
ブリッジはWeb3ユーザーがブロックチェーン間で暗号資産を転送するのに役立ちますが、ハッカーにとっては大きな標的でもあります。ここでは、暗号資産ブリッジのハックについて知っておくべきことを解説します。
Blockchain
暗号資産のマイニングは複雑で、ときに論争の的にもなります。何が起きているのか、どのように動作しているのかを学びましょう。
Blockchain
シビル攻撃とは、一人の人やボットが多くの偽アカウントでピアツーピアネットワークを偽装する攻撃です。シビル攻撃が何か、そしてブロックチェーン技術にどう関係しているかを学びましょう。
