パーソナルメッセージ【PAM】Personal Assurance Message
概要
利用者はサービスの初期設定時に、自分だけが知っている語句や画像を選んで登録しておく。ログイン時にユーザーIDを入力すると、パスワードの入力欄が表示される前に、登録済みのパーソナルメッセージが画面上に表示される。利用者はその内容が自分が設定したものと一致しているかを確認し、一致していればパスワードの入力に進む。
この仕組みは、正規サイトと利用者の双方が互いの正当性を確かめ合う「相互認証」（mutual authentication）の一手法に位置付けられる。通常の認証では利用者がIDやパスワードを入力して本人であることを示すが、パーソナルメッセージでは反対に、利用者がアクセス先の画面を確認することで、サイト側の真正性（偽物でないこと）を判断する。両方向の確認を組み合わせることで、認証手続き全体の安全性が高められている。
パーソナルメッセージが有効に機能する理由は、フィッシングサイトの多くが正規サイトの見た目をそのまま模倣して作られている一方で、利用者ごとに個別登録された情報までは把握できないという点にある。攻撃者が正規サイトのログイン画面を再現しても、利用者本人が設定したパーソナルメッセージの内容までは表示できない。
表示された内容が事前の設定と異なっていたり、何も表示されなかったりした場合、利用者は偽のサイトである可能性を認識し、パスワードなどの情報を入力する前に手続きを中断できる。登録する語句には、電話番号や生年月日のように推測されやすい情報は避け、自分だけが理解できるものを用いることが推奨されている。
パーソナルメッセージは主にクレジットカードの本人認証サービスやインターネットバンキングで利用されている。利用者本人が任意に設定する情報であるため、パスワードとは別に管理する必要があり、設定後は定期的に内容を見直すことが望ましいとされている。近年はリスクベース認証や、スマートフォンを用いたワンタイムパスワード、生体認証など、より自動化された多要素認証への移行が進んでいるが、パーソナルメッセージは利用者が視覚的に確認できる仕組みとして、一部のサービスで継続して利用されている。
共有ボタンをタップ