マジックリンク（Magic Link）とは：パスワードレスのログインをユーザーに提供
マジックリンク（Magic Link）とは、パスワードレスログインの一形態です。ユーザーがサインインのためにログイン資格情報を入力する代わりに、メールで（場合によってはSMS経由で）埋め込まれたトークンを含むURLが送信されます。ユーザーがそのリンクをクリックして認証すると、アプリケーションまたはシステムにリダイレクトされ、「マジック」 パスワードを使用した場合と同様に、しかし実際のパスワードを使用せずに、正常にサインインできます。これがマジックリンク（Magic Link）です。
多くの組織がパスワードベースの認証から移行する中、企業のリスク選好レベルに応じて、消費者向け認証手法としてマジックログインの人気が高まっています。ユーザーがSlackのマジックリンク、Tumblrのマジックリンク、または独自のアプリやサービスに簡単にアクセスする方法を必要とする場合に、マジックログインを使用することで、多数のパスワードを記憶するという課題から解放されます。
この記事では、マジックリンクの仕組みを詳しく紹介し、どのような状況で利用すれば安全でユーザーフレンドリーなエクスペリエンスを創出できるかについて説明します。マジックリンク認証の実装によってエンドユーザーや開発者にもたらされるメリット、そして課題についても検討します。
マジックリンク（Magic Link）の仕組み
マジックログインには、以下の3つのステップが関与します。
- ユーザーが、サインイン画面で自分のメールアドレスを入力します。
- それが登録されたメールアドレスであれば、ユーザーはマジックリンクが含まれるメールを受け取ります。
- ユーザーがメールを開き、マジックリンクをクリックしてサインインプロセスを完了します。
または、登録時にユーザーがライブリンクを受信し、続いてそれを認証に使用することも可能です。この手順は、パスワードリセットのフローに似ています。パスワードリセットの場合、ユーザーがシークレットリンクを受信し、パスワードを迂回して新しいパスワードを作成できます。マジックログインを確立するには、アプリ設計者はパスワード（および関連するリセット処理）を削除し、代わりにユーザーのメールアドレスに一回限り使用可能なシークレットリンクを送信するプロセスが必要です。
開発者は、特定の時間間隔またはユーザーセッションのライフサイクルでリンクが有効となるように構成できます。ユーザーが時間内にリンクをクリックすると、認証が成功し、セッションの間ログインを維持するCookieが設定されます。
マジックリンクは、ユーザーがパスワードのリセットでよく目にするのと同じように機能します。ただし、ユーザーはアカウントにアクセスするためにパスワードを記憶したり入力したりする必要はありません。これにより、マジックリンクはログインプロセスを合理化し、ハードウェア要件を課さずに魅力的なユーザーエクスペリエンスを提供します。
マジックリンク（Magic Link）の導入方法
強力なセキュリティ戦略に貢献するユーザーフレンドリーな機能をアプリに追加したいと考える場合、マジックリンクの実装が検討対象となります。マジックリンクの導入の効果を理解できるように、主なユースケースをいくつか紹介します。
マジックリンクには、以下の特長があります。
- ログインが頻繁に必要とされない状況に最適です。マジックリンクは各ユーザーセッションの開始時に発行され、一回限りの使用のためにユーザー認証が行われます。したがって、頻度の低い認証や一回限りの認証を必要とするアプリとの親和性が高く、摩擦のないアクセス経路を提供します。
- WebAuthnとの併用に適しています。WebAuthnは、パスワードレス認証のための標準ベースのフレームワークであり、これによってWebアプリケーションが登録済みデバイスを認証要素として使用できます。WebAuthnは、内部オーセンティケーター（Google Chromeのようなブラウザのサポートなど）に加えて、YubiKeyやバイオメトリック識別子のような多様な外部認証機能を組み込んでいます。マジックリンクは、企業やユーザーに追加のハードウェアを実装することを要求せずに、WebAuthnをサポートするアプリに認証の代替レイヤーを提供できます。
- パスワードベースの攻撃を防ぎます。Verizonのデータ侵害調査レポートでは、4年連続で、資格情報の窃取がハッキングに最も使用される手法となっていると報告されています。違反の80%は、資格情報を窃取またはブルートフォース攻撃の対象とする「ハッキング」に分類されています。クレデンシャルスタッフィングやフィッシングなど、パスワードに依存する攻撃が増加しています。貧弱なパスワードは、他者に推測または取得されやすく、また、多くの資格情報を記憶することがフラストレーションとなって、アカウント間で弱いパスワードを使用したり、パスワードを使い回したりするといったセキュリティ上問題となる行動が促進されます。このような状況において、マジックリンクはパスワード固有のセキュリティリスクへの対策となります。
- アカウントの作成とログインを合理化します。マジックリンクを使用すると、アプリ開発者はユーザーの登録とサインインを同時に実行できます。新規ユーザーは、登録ステップを使用して、詳細を入力したり資格情報を設定したりすることなく、サインインリンクを取得できます。したがって、ユーザーの摩擦が軽減され、基本的にユーザージャーニーの任意の時点でアカウント作成が可能になります。
マジックリンク（Magic Link）のメリット
マジックリンクの実装は、さまざまな面でメリットがあります。マジックリンクは以下を可能にします。
- 認証のデプロイと使用が容易になります。マジックリンクはパスワードのリセットとほぼ同じフローに従うため、コードを少し調整するだけで実装でき、追加のコストがかかりません。
- シームレスなオンボーディングを実現します。ユーザーはメールアドレスを入力し、マジックリンクをクリックしてアプリに登録するだけで済むので、シンプルで魅力的なオンボーディングプロセスが提供されます。
- ログインのトラブルシューティングを削減します。パスワードをマジックリンクに置き換えることで、組織の管理オーバーヘッドを削減できます。ログイン失敗によるセキュリティアラートの処理に費やす時間が短縮され、新しいパスワード要求に対応する必要がなくなります。
- アプリの採用が増えます。ログインプロセスでの「マジック」パスワードによる肯定的なエクスペリエンスによって、ユーザーはアプリを引き続き使用するよう促進されます。マジックリンクを使用することで、ロイヤリティとリピート率を高めることができます。
- カートの放棄が削減され、コンバージョンが向上します。チェックアウト時のログインプロセスを簡素化することで、購入を断念する顧客が減り、Webとモバイルの両方でよりコンバージョンを高める機会が生まれます。
- 攻撃対象領域が削減されます。脆弱な資格情報が使用されたり、資格情報が再利用されたりするたびに、組織に対する攻撃の機会がもたらされます。パスワードレスに移行することによって、認証情報の侵害によるアカウントの乗っ取りやデータ侵害のリスクを軽減できます。
エンドユーザーにも以下のようなメリットがあります。
- ハードウェアを必要としません。ハードトークンやバイオメトリクスなどの認証手法では、ユーザーが特定のテクノロジーを所有することが前提となります。その一方で、マジックリンクではリソースが要求されません。つまり、導入の障壁がなく、可能な限り幅広いユーザーベースに認証へのアクセスを提供できます。
- 直感的で馴染み深いユーザーエクスペリエンスを得ることができます。マジックリンクは、使い慣れたパスワードリセットを簡素化したようなプロセスを提供し、登録やサインインの労力がほとんどかかりません。
- 多様なデバイスで高い利便性が提供されます。マジックリンクは、メールを使用できるあらゆるデバイスで簡単に認証できます。つまり、スマートフォン、タブレット、ノートパソコン、デスクトップで同じように実行可能です。マジックリンクは、リンクをクリックしたデバイスでユーザーを認証します。ユーザーの自然な行動として、その時々で使用しているデバイスでメールを開くため、そのことで摩擦が起きるのは望ましいことではありません。
マジックリンクを使用する場合の課題
マジックリンクはパスワードよりも強力な保護をする一方で、以下のようなセキュリティの問題もあるため、これらに対処する必要があります。
- セキュリティは、ユーザーのメールアカウントに関連付けられています。これにより、独自のセキュリティリスクがもたらされます。マジックリンクのメールがメールサーバー間で送信される際の安全性が低い場合、ユーザーのメールプロバイダーの従業員が表示できる可能性があります。また、デバイスが放置されている間に、ユーザーの受信トレイに容易にアクセスできます。マジックメールの安全性を確実に保つには、多要素認証を併せて使用してメールアカウントを保護する必要があります。
- 管理者はリンクの共有を制御できません。パスワードと同様に、安全上問題のある行動によって脆弱性が生じます。管理者は、ユーザーが他のユーザーと機密リンクを共有するのを確認したり禁止したりする手立てはありません。
- 中間者攻撃の影響を受けやすくなります。ユーザーが暗号化されたネットワークを介してメールにアクセスする場合を除き、ハッカーは安全性の低い接続を傍受し、マジックリンクからセッショントークンを窃取できます。
マジックリンクを採用すべきか？
結論としては、マジックリンクは便利なログインをユーザーに提供する優れた手段ですが、最も安全な認証手法ではありません。
1つの解決策として、OktaのアダプティブMFAと併せてマジックリンクを使用することを検討できます。マジックログインの脆弱性を考えると、ユーザーが信頼できない（および暗号化されていない）ネットワークでメールアカウントにアクセスする場合に追加の認証を求めるポリシーを設定することで、中間者攻撃のリスクを軽減できます。アダプティブMFAを使用して、コンテキストを認識する動的なアクセスポリシーを実装できます。たとえば、暗号化されたネットワーク上の登録ユーザーだけにマジックリンクをデプロイするように選択できます。
セキュリティが主な懸念となる場合は、ログインを保護する追加の手法を検討することをお勧めします。たとえば、WebAuthnを利用することで、パスワードレスの利便性と厳格な保護のバランスをとり、保証レベルがより高いさまざまな認証要素にマジックリンクを組み合わせて、組織とユーザーの安全を確保します。
