Descope、SMSの代替としてWhatsAppを利用した新しい認証方式「nOTP」を発表

米国のスタートアップDescope社は、ユーザーがほとんど操作することなく、WhatsAppを介してウェブサイトを認証できる新しい方法である「nOTP」を発表しました。この10年間、オンライン業界はパスワードの不安定さを解決するため、多要素認証(MFA)への移行を試みてきましたが、この技術には限界があることが分かりました。

第一に、ほとんどの消費者がMFAを好まず、可能な限り使用を避けようとします。彼らの指摘には一理あり、1つのウェブサイトでMFAを使うのは少し面倒ですが、すべてのサイトで使うとすぐに手間になります。控えめな普及率から判断すると、企業側もあまり熱心ではありません。MFAを使うと、消費者と取引完了の間に障壁ができるだけでなく、ネットワーク料金が発生するSMSテキストの送信コストもかかります。ワンタイムパスワード(OTP)を介してMFAを実装すれば、セキュリティ上の利点はありますが、企業にとっては追加のソフトウェアと統合が必要となり、複雑です。

Descopeの解決策「nOTP(ノーティーピー)」は、消費者に人気があり、エンドツーエンド暗号化(E2EE)を使用しているWhatsAppを認証チャネルとして利用します。ユーザーはウェブサイトの「WhatsAppでログイン」ボタンをクリックするか、QRコードをスキャンすると、WhatsAppにコードが表示されます。ユーザーはこのメッセージを自分から送信したかのように「送信」を押すと、自動的にサイトにログインできます。これは、ユーザーがWhatsAppのIDおよび登録済み電話番号への接続を通じて認証されるため、基本的なMFAとして機能します。

nOTPの技術は、企業がコーディングを必要とせずに視覚的なプロセスでウェブサイトに任意の認証を追加できるよう開発された、同社の基盤プラットフォームDescope Flowsを反映しています。同社はnOTPを、SMS認証から移行したい企業や、スマートTVなどキーボードがない端末でのログインに適した選択肢として提案しています。ウェブサイトに任意の認証を追加できることは魅力的です。顧客はnOTPを追加できますが、従来のパスワードなど別の認証方式にフォールバックすることも可能です。認証の導入には費用と時間がかかります。Descopeが売り込むのは、開発者がその時間の一部でログインプロセスを設計・統合できるという約束です。本質的にDescope Flowsは、開発者がnOTPまたはその他の認証方式を使って完全なログインシステムを作成できる抽象化プラットフォームとなります。

Descope共同創設者のRishi Bhargavaは、CSO Onlineに対し「彼らはドラッグアンドドロップのコンポーネントを使ってユーザージャーニーやログイン画面のデザインを行い、10行に満たないコードでこれをアプリケーションに組み込めます」と述べています。Descope Flowsアプリケーションの視覚的な抽象化は、実際には同社のAPIの上に構築されたフロントエンドです。開発者は独自のコードでそのAPIにアクセスできますが、Flowsを使って視覚的に行えば複雑さが排除され、認証の提示方法に集中できます。nOTPのインスピレーションは、電話の普及性を活用しつつ、SMSの欠点や手動でコードを入力するような代替手段の複雑さを回避した、新しい認証方式を発明することでした。

Bhargavaは「OTPのコストは莫大です。企業が通信会社に支払う金額の大部分を占めています」と述べています。SMSはさらに、犯罪者がユーザーにOTPの開示を促すフィッシング攻撃の温床にもなります。「OTPが本質的に行っているのは、あなたの電話番号を検証することです。私たちはあなたのスマートフォンに何かを送り、あなたがそのスマートフォンを所有していることを知っています。私たちが言っているのは、OTPを受け取るのではなく、WhatsAppメッセージを送信することで検証できるということです。」

現在、ほとんどの人にとって電話番号がIDとなっています。スマートフォン自体をIDとして扱う(プライベートキーをスマートフォンに保存するPasskey認証のアプローチ)ほど安全ではありませんが、MFAの普及を妨げてきた障壁に対処するアプローチです。Bhargavaによると、生成したりコードを入力する必要はありません(認証アプリ)。また、ネットワークに依存して配信する必要もありません(SMS)。プッシュ認証はこれを実現できますが、企業は大手サービスプロバイダーに依存する必要があります。「Passkey認証やnOTPなどの技術は、摩擦を加えずに第2の要素を追加します。モバイルファースト世代を見れば分かりますが、彼らはメールをチェックするのではなく、WhatsAppをチェックします。」