スマホアプリ型のワンタイムパスワードトークン

IIJ SmartKeyの画面

[画像のクリックで拡大表示]

　インターネットイニシアティブ（IIJ）の「IIJ SmartKey」は、スマートフォン（Android/iPhone）を時刻同期式ワンタイムパスワード（OTP）のトークンとして使えるようにするアプリケーションである。あらかじめ登録しておいたWebサービスのワンタイムパスワードをスマートフォン画面に表示する。トークン機能をアプリケーションソフトとして実装しているので、Webサービスごとに別途ハードウエアトークンを持ち歩く必要がない。

　時刻同期式ワンタイムパスワードは、二要素認証技術の一つで、一時的に使えるパスワードを時刻情報を利用して生成するタイプである。その時点（一定の時間間隔）に限って有効なパスワードの情報を、ログイン先サーバーとログイン元クライアントとの間で共有できる。IIJ SmartKeyは、同方式の標準規格であるTOTP（RFC 6238 Time-based One-time Password Algorithm）に準拠しており、同規格に対応した各種Webサービスの認証に利用できる。

　使い方はこうだ。Webサービスへのログイン認証時に、ワンタイムパスワードの入力を求められるケースがある。ここで、IIJ SmartKeyの画面に該当Webサービスのワンタイムパスワードが表示されているので、これを入力する。同一のスマートフォンでログインしている場合を想定し、ワンタイムパスワードのコピー機能も備える。

　あらかじめ、アプリケーションにWebサービスを登録しておく必要がある。登録方法は、Webサービスの設定画面に表示される専用のQRコードをIIJ SmartKeyのアプリケーションで読み取るというもの。パソコンの画面にQRコードを表示させておき、これをスマートフォンのカメラで読み取る、というプロセスになる。ワンタイムパスワードの桁数（6桁または8桁）や更新間隔（10秒～86400秒）は、自動的に設定される。