毎年 World Password Day になると、議論はいつも同じところに着地します。より強力なパスワード、より多くの多要素認証（MFA）、そしてパスキー。これらはすべて前向きな進展ですが、その焦点はすべて「ログイン」にあります。
そこで当社の創業者兼CEOである Thi Nguyen-Huu は、別の問いを投げかけました。ログインした“後”、その先で行われるすべての操作を守っているのは何か、という問いです。彼の最新記事「After the Login: What Continuous, Endpoint-Bound Identity Actually Requires（ログインの後：継続的かつエンドポイントに紐づくアイデンティティに本当に必要なもの）」は、2026年6月号の Cyber Defense Magazine に掲載されており、その答えを掘り下げています。以下は、その内容の要点です。
本当のギャップ（弱点）はログイン時ではなく、その「後」にあります。
現在のセキュリティインシデントの多くは、アイデンティティを起点とした侵害です。その理由は、ログインが弱いからではありません。認証がログインの時点で止まってしまうことにあります。ユーザーはある瞬間に自分の正当性を証明し、システムはトークンを発行しますが、その後数時間にわたって、そのトークンが実際にログインした本人と結びついている保証はどこにもありません。
そのトークンが盗まれれば、セッションはそのまま乗っ取られます。
この「一度きりのログイン」と、その後のすべての操作との間にあるギャップこそが、ほとんどの攻撃が成立する場所なのです。
私たちは、誤ったレイヤーで検証を行っています。
ログインはアプリケーション層で行われ、人が手動で操作する行為に依存しています。文字を入力したり、タップしたり、視線で認証したりして、その結果をアプリケーションが正当性の証明として扱います。
Thi は、これを行うべき適切な場所はトランスポート層であると主張しています。トランスポート層では、すでにマシン同士が相互に証明を行っています。サーバーはこの仕組みを、25年以上にわたり TLS ハンドシェイクの中で実現してきました。そして同じ暗号技術を使えば、ユーザーのエンドポイント側も、同じハンドシェイクの中で自身を証明することができます。
実際、Mutual TLS はこの仕組みに長年対応してきました。変わったのは、その証明を支えるハードウェアが、いまやエンドポイントに標準的に搭載されるようになったという点です。
なぜ鍵はハードウェア内に存在しなければならないのか。
秘密鍵が“秘密”として成立するためには、その鍵で署名できる存在がただひとつである必要があります。ひとたび2つ目のコピーが存在した瞬間、その鍵に基づいて築かれているあらゆる保証は、警告もなく静かに崩れてしまいます。これこそが、認証情報の窃取やトークン窃取の本質です。
ソフトウェア鍵はメモリやファイル上に存在するため、十分な権限を持つ者であれば誰でもコピーすることができます。これに対してハードウェア鍵は、その経路を遮断します。鍵はシリコン内部――TPM、Secure Enclave、セキュアエレメントといった領域の中で生成され、決して外部に出ることはありません。オペレーティングシステムであっても、アプリケーションであっても、ユーザーであっても、さらにはフル権限で動作するマルウェアであっても例外ではありません。
静的な鍵ではなく、「生きている鍵」。
ハードウェアに保護された鍵は必要条件ですが、それだけでは依然として単なる認証情報に過ぎません。本記事の核心は、その鍵をポリシーと結びつけ、しかもそのポリシーを継続的に検証し続けることにあります。
ハードウェア鍵は、エンドポイントが「正しいユーザーが存在していること」「デバイスが正常な状態であること」「その時点の条件がポリシーに適合していること」を確認できている間に限り機能します。そして、それらの条件が失われた瞬間、その利用継続性は即座に失われます。
監査はプロトコルの一部となる。
このように、ハードウェアに根ざしポリシーと結びついた鍵が、Mutual TLS のハンドシェイクに署名すると、その暗号化チャネルは、それを確立したアイデンティティの証明そのものから導き出されます。つまり、アイデンティティと通信チャネルは一体化します。
その中で行われるすべてのリクエストには、その瞬間におけるユーザー、デバイス、そして条件の状態を示す暗号学的な証明が含まれます。偽造や再利用（リプレイ）可能な別個のトークンは存在しません。
「誰がこれを行ったのか」という問いは、後からログを推測して導くのではなく、プロトコルそのものによって直接答えられるようになります。
必要な要素はすでに揃っています。
ここで述べている内容は、新しいハードウェアや新しい標準を必要とするものではありません。TPM はほぼすべてのビジネス向けノートPCに搭載されています。Mutual TLS は25年にわたって確立されてきました。起動前MFAが導入されている環境では、エンドポイントは電源投入時にすでにユーザーの認証を行っています。
足りないのは、こうした要素をアプリケーション層の上に積み重ねるのではなく、トランスポート層で結びつけるという選択です。Thi が指摘するように、W3C、IETF、NIST、CISA といった標準化団体も、それぞれ異なるアプローチからではあるものの、同じ方向性に向かいつつあります。
全文はこちらをご覧ください。
パスワードは、オンラインの世界において適切な出発点ではなく、それを置き換えることには意味があります。しかし、それはゴールではありません。
本稿では、アイデンティティを「一瞬のもの」ではなく「継続的なもの」として捉え、ソフトウェア上で主張されるものではなくハードウェアに根ざしたものへと変え、さらに暗号化チャネルの“外で受け渡す”のではなく“その中で担保されるもの”としてどのように実現できるかを解説しています。
全文（英語）は、Cyber Defense Magazine 2026年6月号（131～135ページ）にてご覧いただけます。
Thi Nguyen-Huu
President and CEO of WinMagic
