なぜ、いまQypherが必要なのか。

大規模なサービスから個人情報が流出したというニュースは、残念ながら珍しいものではなくなりました。原因として繰り返し挙げられるのが、「使い回されたパスワード」「単純すぎるパスワード」「フィッシングで盗まれたパスワード」です。

これは、利用者の不注意だけが原因ではありません。そもそもパスワードという仕組みは、人間に対して「長くて・複雑で・サービスごとに違って・しかも覚えていられる」秘密を要求します。サービスの数が増え続ける今、これを完璧にこなすのはほとんど不可能に近いことです。一つのサービスでパスワードが漏れると、同じパスワードを使い回している他のサービスにまで被害が連鎖する——これが、多くの流出被害を大きくしている理由です。

Qypherには、そもそも「漏れるパスワード」がありません

Qypher（キーファー）のログインには、人が記憶する文字列としてのパスワードが存在しません。使うのは、QRコードが描かれた1枚のQypherカードだけです。「覚えている秘密が盗まれる」「使い回した秘密が漏れる」という、パスワードに特有の事故は、仕組みの上でそもそも起こり得ません。

もちろんこれは、「Qypherなら何があっても絶対安全」という意味ではありません。Qypherカードを紛失した場合には、すぐに再発行することで、それまでのカードをその瞬間から使えなくすることができます。大切なのは、"漏れて困る秘密を人間が抱え込まない"という設計そのものです。詳しい安全性の考え方は、後半の第4回でもご紹介します。

「Googleでログイン」「Appleでサインイン」といったソーシャルログインは、多くのサイトで使われている便利な仕組みです。すでにお持ちのアカウントでそのままログインできる手軽さは、大きなメリットです。

Qypherは、こうした仕組みと張り合うものではなく、違う立ち位置を目指しています。ソーシャルログインは、特定の大手プラットフォームのアカウントに紐づく仕組みです。一方Qypherは、どのプラットフォームの会員でもない方や、「自分の識別情報を、特定の1社にまとめて預けたくない」と感じる方にも使っていただける、独立した認証のしくみです。

Qypherが大事にしていること

• 中立性：特定の企業のアカウントに依存せず、単独のログイン手段として機能します。
• 汎用性：1枚のQypherカードを、Qypherに対応した複数の無関係なサービスで使うことができます。
• 透明性：ログイン先に渡すデータは、その都度ご自身で確認・選択できます。

どちらが優れている、という話ではありません。使う場面や、大事にしたい価値観に応じて選べる選択肢が増えることが、利用者にとっても、サイト運営者にとっても良いことだと私たちは考えています。

インターネットの利用が当たり前になった今、こどもが年齢制限のあるサービスに誤ってアクセスしてしまったり、意図しない高額な課金をしてしまったりといったトラブルが、社会的な課題として取り上げられる機会が増えています。

Qypherの年齢確認・保護者認証

Qypherは、登録された生年月日をもとに年齢を確認し、一定年齢に満たない利用者については、保護者の認証や同意を求める設計を備えています。これにより、サイト側は「本人確認・保護者確認のしくみを一から自前で作る」必要がなく、こどもを守る配慮を、より多くのサービスに広げやすくなります。

保護者にとっても、お子様がどのサービスにログインしているかを把握しやすくなり、年齢にそぐわない場所へ気づかないうちに入ってしまう、というリスクを減らすことができます。

ひとつの仕組みが、社会全体の安心につながる

年齢確認や保護者認証を、サービスごとにばらばらに作るのではなく、共通の仕組みとして備えることができれば、こどもを守るための配慮は、業界全体によりスムーズに広がっていきます。Qypherが目指しているのは、そうした好循環の土台になることです。

「安全です」という言葉だけでは、なかなか安心できないかもしれません。ここでは、Qypherがどのような考え方で堅牢さを保っているのかを、できるだけやさしくご紹介します。

盗まれて困る「秘密」を、そもそも持たない

第1回でもご紹介した通り、Qypherのログインには人が記憶するパスワードがありません。攻撃者が狙う「秘密」がそもそも存在しないため、パスワードを盗む・推測する・使い回しを悪用するといった、よくある攻撃の手口が成立しません。

万が一の際も、そのまま使える形では保存しない

Qypherのデータベースは、認証に関わる情報を元の形に戻せる状態では保存していません。保存されているのは、計算で元に戻すことができない一方向の変換後データのみです。氏名や住所などの個人情報についても、暗号化した状態で保存しています。そのため万が一データの一部が外部に渡ってしまっても、そのまま悪用できる形では取り出せません。

推測できない、機械まかせの生成

ログインに使われる情報は、日時のような予測できる要素からではなく、暗号学的に安全な乱数によって生成されます。人が考えた文字列ではないため、規則性を推測して作り出すことができません。

Qypherの安全性は、「仕組みを秘密にすること」で成り立っているのではなく、ここでご紹介したような、公開しても揺らがない設計そのものによって支えられています。技術的な詳細にご興味のある方は、技術者向けページ「安全のしくみ」もあわせてご覧ください。