PIN がパスワードより安全な理由Why a PIN is better than a password

適用対象Applies to

  • Windows 10Windows10

Windows 10 で Windows Hello を使用すると、ユーザーは PIN を使ってデバイスにサインインすることができます。Windows Hello in Windows10 enables users to sign in to their device using a PIN. PIN とパスワードの違い (および PIN が優れている理由)How is a PIN different from (and better than) a password? 一見、暗証番号 (PIN) はパスワードとよく似ています。On the surface, a PIN looks much like a password. PIN は数字の組み合わせであることが一般的ですが、エンタープライズ ポリシーによっては、特殊文字や大文字と小文字を含む複雑な PIN が使われることもあります。A PIN can be a set of numbers, but enterprise policy might allow complex PINs that include special characters and letters, both upper-case and lower-case. 例えば t758A! のような文字列をSomething like t758A! アカウント パスワードや Hello PIN として使用できます。could be an account password or a complex Hello PIN. PIN がパスワードよりも安全とされる理由は、その構造 (長さや複雑さ) にあるのではなく、PIN がどのように機能するかという点にあります。It isn't the structure of a PIN (length, complexity) that makes it better than a password, it's how it works.

オンラインでの Windows Hello for Business PIN のセキュリティがパスワードよりも安全である理由については、西村を参照してください。Watch Dana Huang explain why a Windows Hello for Business PIN is more secure than a password.

PIN はデバイスと密接に関連付けられています。PIN is tied to the device

パスワードと Hello PIN の重要な違いの 1 つは、Hello PIN は、PIN が設定された特定のデバイスに関連付けられることです。One important difference between a password and a Hello PIN is that the PIN is tied to the specific device on which it was set up. その PIN は、その特定のハードウェアを持っていない人には役に立ちません。That PIN is useless to anyone without that specific hardware. パスワードが盗まれた場合は、被害を受けたアカウントにどこからでもサインインされる可能性があります。しかし、PIN が盗まれたとしても、物理デバイスも盗まなければその PIN は役に立ちません。Someone who steals your password can sign in to your account from anywhere, but if they steal your PIN, they'd have to steal your physical device too!

PIN を設定した本人でさえも、その特定のデバイス以外で同じ PIN を使うことはできません。Even you can't use that PIN anywhere except on that specific device. 複数のデバイスにサインインする場合は、各デバイスで Hello をセットアップする必要があります。If you want to sign in on multiple devices, you have to set up Hello on each device.

PIN はデバイスに対してローカルです。PIN is local to the device

パスワードはサーバーに転送されるため、転送中に傍受されたり、サーバーから盗まれたりする可能性があります。A password is transmitted to the server -- it can be intercepted in transmission or stolen from a server. 一方、PIN はデバイスにローカルであり、どこにも転送されず、サーバー上に保存されることもありません。A PIN is local to the device -- it isn't transmitted anywhere and it isn't stored on the server. PIN の作成時には、ID プロバイダーとの信頼関係が確立され、認証に使われる非対称キー ペアが作成されます。When the PIN is created, it establishes a trusted relationship with the identity provider and creates an asymmetric key pair that is used for authentication. PIN を入力すると、認証キーのロックが解除され、認証サーバーに送信される要求がそのキーで署名されます。When you enter your PIN, it unlocks the authentication key and uses the key to sign the request that is sent to the authenticating server.

Note

認証時に Hello でどのように非対称キー ペアが使われるかについて詳しくは、「Windows Hello for Business」をご覧ください。For details on how Hello uses asymetric key pairs for authentication, see Windows Hello for Business.  

PIN はハードウェアによってサポートされいます。PIN is backed by hardware

Hello PIN は、トラステッド プラットフォーム モジュール (TPM) チップによりサポーとされています。TPM は、暗号化操作を実行するために設計された安全な暗号プロセッサです。The Hello PIN is backed by a Trusted Platform Module (TPM) chip, which is a secure crypto-processor that is designed to carry out cryptographic operations. このチップには、改ざんに強い複数の物理セキュリティ メカニズムが搭載されており、悪意のあるソフトウェアが TPM のセキュリティ機能を破ることはできません。The chip includes multiple physical security mechanisms to make it tamper resistant, and malicious software is unable to tamper with the security functions of the TPM. Windows 10 携帯電話と多くの最新のノートパソコンには、TPM が搭載されています。All Windows10 Mobile phones and many modern laptops have TPM.

ユーザーのキー マテリアルは、ユーザー デバイスのトラステッド プラットフォーム モジュール (TPM) 内で生成され、使うことができます。これにより、キー マテリアルを取得して再利用しようとする攻撃者から保護することができます。User key material is generated and available within the Trusted Platform Module (TPM) of the user device, which protects it from attackers who want to capture the key material and reuse it. Hello は非対称キーのペアを使用するため、ユーザーの資格情報がアクセスされない場合は、ユーザーの資格情報を盗まれることはありません。Because Hello uses asymmetric key pairs, users credentials can't be stolen in cases where the identity provider or websites the user accesses have been compromised.

TPM は、PIN のブルート フォース攻撃など、さまざまな既知の潜在的な攻撃を防ぎます。The TPM protects against a variety of known and potential attacks, including PIN brute-force attacks. 正しくない入力が何度も試みられると、デバイスはロックされます。After too many incorrect guesses, the device is locked.

PIN は複雑になることがあります。PIN can be complex

Windows Hello for Business PIN に使用する Passport PIN には、複雑さ、長さ、有効期限、使用履歴など、パスワードと同じ IT 管理ポリシーのセットが適用されます。The Windows Hello for Business PIN is subject to the same set of IT management policies as a password, such as complexity, length, expiration, and history. PIN は 4 桁のコードにするのが一般的ですが、管理者は、パスワードのように複雑な PIN を要求する ポリシー を管理対象のデバイスに設定できます。Although we generally think of a PIN as a simple four-digit code, administrators can set policies for managed devices to require a PIN complexity similar to a password. 特殊文字、大文字、小文字、数字の使用を要求または禁止することができます。You can require or block: special characters, uppercase characters, lowercase characters, and digits.

ノート PC や電話が盗まれた場合の影響What if someone steals the laptop or phone?

TPM によって保護される Windows Hello 資格情報を侵害するには、攻撃者は物理デバイスへのアクセスを許可する必要があります。その後、ユーザーの生体認証または PIN を推測する方法を見つける必要があります。これは、 tpm の hammering保護でデバイスをロックする前にすべて実行する必要があります。To compromise a Windows Hello credential that TPM protects, an attacker must have access to the physical device, and then must find a way to spoof the user's biometrics or guess his or her PIN—and all of this must be done before TPM anti-hammering protection locks the device. TPM が搭載されていないノート PC では、BitLocker を有効にし、サインインの失敗回数を制限するポリシーを設定すると、保護を強化することができます。You can provide additional protection for laptops that don't have TPM by enabling BitLocker and setting a policy to limit failed sign-ins.

TPM なしでの BitLocker の構成Configure BitLocker without TPM

  1. ローカル グループ ポリシー エディター (gpedit.msc) を使って、次のポリシーを有効にします。Use the Local Group Policy Editor (gpedit.msc) to enable the following policy:

    [コンピューターの構成] > [管理用テンプレート] > [Windows コンポーネント] > [BitLocker ドライブ暗号化] > [オペレーティング システムのドライブ] > [スタートアップ時に追加の認証を要求する]Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption > Operating System Drives > Require additional authentication at startup

  2. ポリシーのオプションで、[互換性のある TPM が装備されていない BitLocker を許可する] をオンにして、[OK] をクリックします。In the policy option, select Allow BitLocker without a compatible TPM, and then click OK.

  3. コントロール パネルの [システムとセキュリティ] を開き、[BitLocker ドライブ暗号化] に移動して、保護するオペレーティング システムを選択します。Go to Control Panel > System and Security > BitLocker Drive Encryption and select the operating system drive to protect. アカウントのロックアウトのしきい値の設定Set account lockout threshold

  4. ローカル グループ ポリシー エディター (gpedit.msc) を使って、次のポリシーを有効にします。Use the Local Group Policy Editor (gpedit.msc) to enable the following policy:

    [コンピューターの構成] > [Windows の設定] > [セキュリティの設定] > [アカウント ポリシー] > [アカウント ロックアウトのポリシー] > [アカウントのロックアウトのしきい値]Computer Configuration > Windows Settings > Security Settings > Account Policies > Account Lockout Policy > Account lockout threshold

  5. 許可される無効なログオン試行回数を設定して、[OK] をクリックします。Set the number of invalid logon attempts to allow, and then click OK.

バイオメトリック認証を使用するのに PIN が必要な理由Why do you need a PIN to use biometrics?

Windows Hello は、指紋、虹彩、顔認識の Windows 10 で生体認証を有効にします。Windows Hello enables biometric sign-in for Windows10: fingerprint, iris, or facial recognition. Windows Hello をセットアップすると、最初に PIN を作成するように求められます。When you set up Windows Hello, you're asked to create a PIN first. この PIN を使用すると、けがのために、またはセンサーが使用できないか正しく動作していないために、PIN を使ってサインインすることができます。This PIN enables you to sign in using the PIN when you can't use your preferred biometric because of an injury or because the sensor is unavailable or not working properly.

生体認証サインインのみ設定され、何らかの理由でそのサインイン方法を利用できない場合は、アカウント名とパスワードを使ってサインインすることが必要になります。この方法では Hello と同じレベルの保護は提供されません。If you only had a biometric sign-in configured and, for any reason, were unable to use that method to sign in, you would have to sign in using your account and password, which doesn't provide you the same level of protection as Hello.

関連トピックRelated topics