AppleはApple Payのクレジットカード取引を保護するためにセキュアエレメントを使用していますが、GoogleやMicrosoftなどの競合他社は、より簡便な方法としてホストカードエミュレーション（HCE）を選択しました。これは、あらゆるデバイスに安全なモバイル決済を提供するための手段です。HCEは実装が容易ですが、セキュリティの観点からは必ずしも最良の選択とは言えません。
ホストカードエミュレーション（またはクラウドベースのセキュアエレメント）
Googleは、SIMベースのセキュアエレメントに関する通信事業者の要件を回避する手段として、1年以上前にAndroid 4.4にホストカードエミュレーション機能を実装しました。セキュアエレメントとは、クレジットカード番号を保存できるハードウェアコンポーネントであり、モバイル決済以外ではオペレーティングシステムとのやり取りは制限されています。
セキュアエレメントはチップ（埋め込み型）またはSIMカード内に配置できるため、スマートフォンでスマートカードを使用するようなものです。Googleは当初、チップベースのセキュアエレメントを採用していましたが、通信事業者はセキュアエレメントを自社のSIMカードに紐付けることを要求しました。これはおそらく、モバイル決済市場をコントロールし、Google Walletの普及を遅らせるためだと思われます。
HCEは本質的にクラウドベースのセキュアエレメントであり、デバイス上で仮想クレジットカード番号を用いてカードのエミュレーションが行われます。その後、その番号はモバイル決済プロバイダーのサーバーで検証されます。その後、実際のクレジットカード番号が加盟店に送信され、取引が承認されて完了します。
HCE - 拡張性は高いが、セキュリティは低い
HCEは、デバイス上のセキュアエレメントを使用するよりもプライバシーとセキュリティの両面で劣ると考えられています。例えばApple Payの場合、Appleはセキュアエレメントに実際のクレジットカード情報を保存するのではなく、EMVcoのトークン化規格に従ってトークン、つまり仮想番号のみを保存します。
そのため、たとえデバイスのセキュリティが侵害されたとしても、攻撃者は実際のクレジットカード情報を入手することはできません。Appleはまた、iPhoneにTouch ID指紋認証と「アクティベーションロック」システムを搭載しており、盗難されたiPhoneであっても、不正な購入に利用されることをさらに防いでいます。
一方、クラウドベースのソリューションは、クレジットカード データを保護するための複数の方法からメリットを得られますが、最終的には、企業がそのデータの保護にどれだけの投資をするかによって決まります。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
GoogleやMicrosoftのような企業は、限定的な使用キー、トークン、デバイスフィンガープリンティング、取引リスク分析などを用いて、データ保護のためにあらゆる対策を講じることができるかもしれません。しかし、すべてのモバイル決済プロバイダー、さらには銀行でさえも、そうするわけではありません。例えば、今日でもほとんどの銀行はHTTPS接続において可能な限り安全な設定を採用していません。
昨年見てきたように、クレジットカードのデータを保管している企業も高度な攻撃の標的となっており、その多くは数千万人の顧客のクレジットカード情報を危険にさらす可能性があります。
HCEではプライバシーも低下
プライバシーの観点から見ると、HCEはセキュアエレメントよりも低い評価を受ける可能性があります。モバイル決済プロバイダーは、特定のクレジットカード番号を使用しているユーザーを把握し、そのデータを商業目的や広告目的で小売業者や他の企業と共有することさえ選択できます。これはGoogleがGoogle Walletで既に行っていることです。
セキュアエレメントがあれば、データはデバイス自体から外部に漏れることはありません。Apple Payと同様に、EMVcoトークン化規格が実装されていれば、加盟店でさえ実際のクレジットカード番号を見ることはできません。
では、なぜホスト カード エミュレーションが必要なのでしょうか?
ホストカードエミュレーションの主な利点は、セキュリティではなくスケーラビリティです。GoogleやMicrosoftなどのOSベンダーにとっては、ホストカードエミュレーションを行う方が理にかなっているかもしれません。なぜなら、自社のOSは他社のハードウェアでも動作し、特定のハードウェアのサポートを要求するのがより困難だからです。また、ローエンドのスマートフォンは価格が上昇することになります。GoogleやMicrosoftのOS市場シェアの大部分はローエンドハードウェアによって支えられています。
追加のハードウェアがプラットフォームの将来にとって極めて重要でない限り、OSベンダーはパートナー企業に追加の負担をかけずに、誰もが利用できる別のソリューションを見つけようとします。しかし、今回のケースでは、モバイル決済自体がオペレーティングシステムがサポートする必要がある重要なサービスであるため、セキュアエレメントはモバイルオペレーティングシステムにとって非常に重要であると言えるでしょう。
これは、Androidデバイス、あるいはWindows 10搭載端末に組み込み型のセキュアエレメントが採用されないことを意味するものではありません。しかし、Windows 10搭載端末の場合、OSで何が動作し、何が動作しないかはMicrosoftが決定します。Androidでは、Googleのデフォルトソリューションに関わらず、SamsungなどのOEMがセキュアエレメントを採用する可能性があります。
結局のところ、セキュリティをデバイス中心にするかクラウド中心にするかという決断に帰着します。デバイスが一般的に安全でない傾向がある場合、クラウド中心のセキュリティを採用する方が理にかなっているかもしれません。しかし、それは信頼、プライバシー、そしてセキュリティのすべてをサービスプロバイダーに委ねることを意味します。また、そのプロバイダーがハッキングされた場合、数百万人もの人々の機密データが一挙に危険にさらされる可能性があることも意味します。
一方、個々のデバイスがハッキングされる可能性があったとしても、OSベンダーが強力なデフォルト設定を採用すれば、デバイス中心のセキュリティは十分に強化できます。OSベンダーは、デバイスメーカーに対し、強力な認証メカニズムとリモート機能を備えたセキュアエレメントの導入を義務付けることで、デバイスを窃盗犯にとって無用なものにすることができます。
@tomshardware 、 Facebook 、 Google+でフォローしてください 。
ルシアン・アルマスは、Tom's Hardware USの寄稿ライターです。ソフトウェア関連のニュースやプライバシーとセキュリティに関する問題を取り上げています。
