「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として「認証」と「パスワード」について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

認証は「おまえ誰？OKなやつ？」を確認する作業です。



例えば

・本人しか知らない情報を入力させる
・本人しか持っていないものを提示させる
・接続元の情報を見る

のような過程を経て、OKな人かNGな人かを判定します。
文字通り「認められていると証明する」作業です。



※厳密には「認証＋認可」の説明になっていますが気にしないことにします。そこら辺が気になる方は、用語「認可」の説明を ご覧ください。

パスワードは「認証で使う合言葉」です。
認証における

・本人しか知らない情報を入力させる

の「本人しか知らない情報」に相当します。



以上を踏まえて

１．払い出されてから一定の時間が経つと使えなくなるパスワード
２．1回 使うと使えなくなるパスワード

のどちらかが「使い捨てパスワード」です。
「ワンタイムパスワード」と表現されることも あります。



少し話がそれますが、ついでなので「セキュリティトークン」の説明もしておきます。
セキュリティトークンは「使い捨てパスワードを払い出す機械とかソフト」です。



実際には少し違いますが

使い捨てパスワード：時間
セキュリティトークン：時計

のイメージです。



例えば、そうですね。

ピヨ太君が、のんびり一人旅をしていました。
ピヨ太君の腕にはピヨ太ママからもらったピヨピヨ腕時計が輝いています。



おっと、ピヨ太君が歩いていると目の前に門が見えてきました。
門の前には門番がいて「怪しいやつは通さん！」と立ちふさがっています。



ピヨ太君は門番に「通してよ～」と言いました。
ですが、門番は「ピヨピヨ腕時計を持っているやつしか通さん！」と答えます。



ピヨ太君は門番に「ピヨピヨ腕時計を持っているよ～」と言いました。



本当でしょうか。
門番はピヨ太君に「今、何時よ？」と聞きました。



ピヨ太君はピヨピヨ腕時計を見て「今は13時25分だよ」と答えました。



ふむ。
ピヨピヨ腕時計が今何時を指しているか門番は知っています。
確かにピヨ太君の言うとおりです。
ピヨピヨ腕時計は13時25分を指しているはずです。

門番はピヨ太君がピヨピヨ腕時計を持っていると判断しました。
「どーぞ、お通りください」と通してあげます。



このやり取りをアクマ君が見ていました。
アクマ君も門を通りたかったのですが、ピヨピヨ腕時計を持っていないので立ち往生していたのです。



確かピヨ太のやつは「13時25分」と答えていました。
それを記憶に焼きつけて、アクマ君も門に向かいます。



門番はアクマ君に「今、何時よ？」と聞きました。
アクマ君は「今は13時25分だよ」と答えます。



ですが、残念でした。
ピヨ太君が「13時25分だよ」と答えてから時間が経っています。
実際には今は13時27分です。

門番はアクマ君がピヨピヨ腕時計を持っていないと判断しました。
「おととい、きやがれ！」と追い返します。



この話における「ピヨピヨ腕時計が指している時刻」が「使い捨てパスワード」です。
「ピヨピヨ腕時計」が「セキュリティトークン」に相当します。

今の例え話だと「直接、時計を見せろよ！」と感じるかもしれませんけどね。
門番とのやり取りは電話越しだと思ってください。
時計の現物は見せられません。
そこで時計を見せる代わりに時刻を伝えて「時計を持ってるよ！」と証明するのです。

使い捨てパスワードのメリットは

１．盗まれても被害に遭いにくい
２．パスワードを覚えておく必要がない

です。

使い捨てパスワードは使い捨てです。
普通のパスワードと比べて、盗まれても悪用される危険性が低いのがメリットです。
先ほどの例でも、ピヨ太君の話を盗み聞きしたアクマ君は通れませんでしたよね。

また、使い捨てパスワードは使うときに払い出します。
いちいち覚えておく必要がありません。
うっかり者のピヨ太君でも安心して使えます。

これが使い捨てパスワードのメリットです。

一方のデメリットは……なんでしょうね。
セキュリティトークンが手元にないと払い出せないとか、毎回パスワードが変わるので都度確認しながら入力しないといけない点でしょうか。
あとは導入コストが高いっぽいので、気軽に導入できないとかも あるようです。