First Citrus Bankが従業員のパスワードを廃止

フロリダに本拠を置くFirst Citrus Bankは、個人、専門家、経営者、起業家に最高の独立したコミュニティバンキングサービスを提供しています。 5つの拠点に70人の従業員を擁するFirst Citrusは、資産規模でタンパベイのコミュニティバンクのトップ5にランクインしています。

First Citrusは、コスト、複雑さ、パスワードのセキュリティ問題に悩まされ、共有のWindowsワークステーションでさまざまなシステムにログインする従業員のセキュリティと使いやすさを向上させようとしました。 いくつかの代替認証方法を試した結果、First Citrusは、強力な暗号化認証とパスワードレスのユーザーエクスペリエンスをはるかに簡単に実現するための最良のオプションとして、FIDO認証に目を向けました。

パスワードの削除

まず、Citrusは、共有のWindowsワークステーションでシステムにログオンする従業員の主要な認証形式として、パスワードから脱却することを目指しました。 コストのかかるリセットと従業員の生産性への悪影響の間で、First Citrusの主な目的は、安全なユーザー認証を提供しながら、従業員がパスワードを入力する必要をなくすことでした。

同行は、スマートカードや時間ベースのワンタイムパスワード(TOTP)など、いくつかのデスクトップ認証オプションを評価しましたが、これらのオプションは従業員のログインに負担をかけ、十分なセキュリティを提供しない一方で、ユーザーエクスペリエンスを低下させることがわかりました。 また、検討したすべてのオプションでは、パスワードの入力が必要でした。

パスワードレス認証に対する標準ベースのアプローチの採用

次にCitrusはまず、強力な認証のための標準ベースのアプローチであるFIDO認証に目を向けました。 標準ベースのアプローチを採用することで得られる相互運用性は、First Citrusのより広範なセキュリティ戦略によく適合します。

FIDO標準では、デバイス上の公開鍵暗号技術を使用して、パスワードやその他の形式の強力な認証よりも強力な認証を提供します。ユーザーの資格情報が共有されることはなく、ユーザーのデバイスから離れることもありません。 また、プロトコルは、ユーザーのプライバシーを保護するためにゼロから設計されています。 プロトコルは、さまざまなオンラインサービスがサービス間でユーザーを共同作業および追跡するために使用できる情報を提供せず、生体認証情報がユーザーのデバイスから離れることはありません。 これはすべて、ユーザーのデバイス上のネイティブ生体認証を使用してパスワードレスのユースケースを満たすシンプルなユーザーエクスペリエンスとバランスが取れています。

First Citrus社にとって、セキュリティと相互運用性が保証されたすべてのアクセスポイントにFIDO認証を展開するために、エンドツーエンドのFIDO認定ソリューションを選択することが重要でした。 同行は、FIDO UAF(モバイルベースのパスワードレス認証)およびFIDO2(モバイルおよびデスクトップのパスワードレスおよび2要素認証)規格のFIDO認定プラットフォームを提供するHYPRとの提携を選択しました。 これらのFIDO仕様を組み合わせることで、First Citrusはユーザー認証のモバイルおよびデスクトップ要件に対応できます。

すべての従業員に対するよりシンプルなモバイル起動認証

まず、CitrusはHYPRのFIDOプラットフォームを導入し、Windows 7および10ワークステーションにログインするすべての従業員に真のパスワードレス認証を提供しました。 導入は簡単で、1時間以内にFIDO認証を活用するコンピューターを導入することができました。 数か月の評価期間を経て、First Citrusは2019年2月にFIDOソリューションを全従業員に展開しました。

First Citrus の従業員は、ログインがモバイルで開始されるようになりました。 モバイルデバイス(iOSまたはAndroid)のネイティブ生体認証を使用して、First Citrusデスクトップワークステーションにログインするだけで、古いパスワードモデルよりもはるかに高いFIDOセキュリティとプライバシーが得られます。 従業員からのフィードバックは肯定的です。最高財務責任者(CFO)は「パスワードを完全に忘れてしまった」と冗談を言った。 HYPRのFIDO認定プラットフォームは、First Citrusの内部認証戦略の中核となる要素となっており、将来的にはFIDO認証オプションをオンラインバンキングの顧客に拡大する可能性があります。

最初のCitrus Bankのケーススタディの PDFドキュメントはこちらからご覧ください。

「私は完全に
私を忘れた
パスワード!」