IceWall MFA

IceWall MFAは、多要素認証（Multi Factor Authentication）で認証を強化できるソリューションです。

IceWall MFAがWebアプリやクラウドサービスへのログインを代行するため、アプリケーションやクラウドサービスを改修せずに、広い範囲のWebアプリやクラウドサービスを容易に多要素認証化することができます。
提供方法は、買い切りやサブスクリプション^＊などご要望に応じた対応が可能です。
以下に構成イメージと特長を示します。

• ＊HPE GreenLake with IceWallでの提供

IceWall MFAでは下記のとおり各種認証方式をサポートしているため、ID/パスワードだけではなくさまざまな認証方式を利用することができます。
また、認証方式はプラグイン方式で追加することができ、プラグイン仕様が公開されていることから、下記以外の認証方式もサポートしていくことが期待されます。

• FIDO^＊準拠の認証デバイス

  「FIDO U2F セキュリティキー」などの標準デバイスが使用可能

  • ＊FIDO Alliance（Fast IDentity Online Alliance）は、生体認証などを利用した新しいオンライン認証技術の標準化をめざして発足した非営利の標準化団体、業界団体

• パスキー^＊

  あらかじめIceWall MFAと紐づけた認証機（スマートフォンやPCなど）を用いて、さまざまなシステムやアプリケーションにパスワードレスでログイン可能。　

  • ＊FIDO2オプションにて対応
  • パスキー認証とは

    認証機内に保存される秘密鍵と、認証サーバーに保存される公開鍵をやり取りすることでパスワードレスでのログインを可能とする認証方式です。

    ■認証の仕組み

    1. Webアプリやクラウドサービスに初めてアクセスした際に、秘密鍵と公開鍵が作成され、認証機と認証サーバーそれぞれに保存されます。
       これにより、認証機と認証サーバーが紐づけられます。
    2. ログイン時には、ユーザーが認証機を用いて本人認証を行うだけで、ログインが可能となります。

    

    ■メリット

    • パスキーや本人認証の情報はWebアプリ側には送信されないため、漏洩リスクを低減
    • パスキーをクラウド上に保存し、複数端末に同期する構成をとることで、機種変更などにより認証機が増えた場合でも、再度パスキーの登録が不要
    • スマートフォンを認証機として利用可能

    ■利用例

    • 社内システム利用時の認証をID・パスワード認証からパスキー認証にすることで、利便性を向上
    • PC付属のカメラが生体認証システムの動作条件に合っていない場合にも、スマートフォンを認証機とすることで生体情報を活用したパスキー認証を実現

• ワンタイムパスワード

  以下3つの方式で一時的なパスワードを通知・確認し、使用可能

  • ソフトウェアトークン

    標準規格であるOATH（initiative for Open AuTHentication）に対応した登録済みのソフトウェアトークンでワンタイムパスワードを生成

  • メール

    登録済みのメールアドレスへワンタイムパスワードを通知

  • SMS

    登録済みの電話番号へSMS（Short Message Service）^＊にてワンタイムパスワードを通知

    • ＊別途KDDI ウェブコミュニケーションズ社提供のTwilioの契約が必要となります。

• ブラウザトークン

  一度多要素認証を行った端末のブラウザーでは、2回目以降の多要素認証を省略

• 統合Windows^®認証

  Windowsドメインにログインしているクライアントからの認証を統合

• IceWall FIDO2

  「FIDO2」の仕様にもとづき各種デバイス標準の生体認証（指静脈認証、顔認証、指紋認証など）と連携可能

• その他

  認証プラグインモジュールの追加で各種認証方式に対応可能

アクセス元やアクセス先、ユーザー属性に応じた認証方式の設定（認証ポリシー設定）が可能で認証ポリシーの設定にしたがって、認証方式が動的に決定されます。
認証方式は複数の方式の中からユーザーに選択させることも可能なためユーザーによって保持するデバイスがOTPやU2Fといった異なる場合でも対応できます。

下記例では、同じユーザーであっても、社外アクセスと社内アクセスのときで認証方式が異なることを示しています。

下記例では、アクセスするWebアプリによって認証方式が異なることを示しています。

下記例では、ユーザー属性によって追加の認証方式が異なることを示しています。

下記例では、Webアプリ内のコンテンツによって認証方式が異なることを示しています。

IceWall MFAがWebアプリやクラウドサービスへのログインを代行するため、 Webアプリやクラウドサービスの改修なく広い範囲のWebアプリやクラウドサービスを容易に多要素認証化することができます。

下記例では、Webアプリ内のコンテンツによって認証方式が異なることを示しています。

OIDC認証オプションにより、SNSやIDaaSなどの外部の認証サービスをIceWall MFAの認証方式の1つとして利用することが可能です。IceWall MFA用に新たにID・パスワードを用意・記憶する必要がなくなるため、ユーザーの負担を軽減。多要素認証を容易に実現します。

標準規格である「FIDO2」および「W3C Web Authentication」に対応しています。各種デバイスに搭載されている生体認証との連携により、認証機器の追加コストなしでのパスワードレス認証や、ほかの認証方式と組み合わせた多要素認証が可能です。SaaS（Software as a Service）などのWebアプリケーションにおける認証強化を実現します。

Web API機能により、Webアプリケーションだけでなく、ネイティブアプリケーション^＊における認証強化も可能です。ネイティブアプリケーションと通信を行う場合は、JSON^＊形式でデータのやりとりを行います。

• ※Web API機能は、「IceWall MFA 4.0 MFAコントローラー Patch Release 7」以降のMFAモジュールで動作します。
• ＊ネイティブアプリケーション：App StoreやGoogle Playなどのアプリケーションストアからインストールして使用するアプリケーション
• ＊JSON：JavaScript Object Notation

また、ネイティブアプリケーションで「FIDO2」や「W3C Web Authentication」による認証を実装するためのライブラリも提供しています。

アクセス元端末のIPアドレスなど、ブラウザーから得られる情報をもとにリスクを分析し、その評価に応じた処理を行うリスクベース認証が可能です。分析の結果、高リスクだと判定された場合はアクセスを拒否、または追加の認証を要求します。認証方式には、ID・パスワード認証だけでなく、FIDO認証、ワンタイムパスワードなど、IceWall MFAが対応するものを組み合わせることができます。

Microsoft Entra IDをIceWall MFAと連携させることで、SSO対象システムをSAML非対応システムにまで拡充することができます。リバースプロキシサーバーをDMZに構築することにより、社内システムへのリモート接続を含めたSSOを実現します。

HPE IceWallのライセンス費用を月額課金で提供します。
サーバーやストレージのハードウェア費用は使用量に応じた従量課金となるため、導入コストの低減やユーザー数に応じた柔軟な利用を実現します。詳細はお問い合わせください。

指静脈を利用した生体認証装置です。
IceWall MFAの認証方式として、指静脈認証をサポートしており導入実績もあります。
利用シーンとしては、IceWall MFAへの認証時に指静脈認証を必須とするといったことが可能です。

スイープ型指紋センサーを搭載した、Windows 向け指紋認証システムです。
IceWall MFAとの連携技術レポートが公開されております。

Webアプリへのシングルサインオンを実現するソリューションです。
なお、リンク先のURLには提案事例として複数の認証方式との連携を記載しておりますがすべて個別開発を行い実現する前提です。

• ※IceWall MFAは日本ヒューレット・パッカード株式会社の製品です。

個別にお見積もりします。下記ボタンよりお問い合わせください。