Kunci: パスワードのない世界に向けて～TechFeed Conference 2022講演より

kuncikn.blogspot.com

本記事は、2022年5月に開催されたTechFeed Conference 2022のセッション書き起こし記事「パスワードのない世界に向けて（えーじ⁠）⁠ — TechFeed Conference 2022講演より」を転載したものです。オリジナルはTechFeedをご覧ください。

皆さんこんにちは。えーじです。今日は「パスワードのない世界に向けて」というお話をしたいと思います。

パスワードだけでは守りきれない世の中に

皆さんご存知のように、今多くのWebサイトはパスワードを使ったログインが主流です。

しかし、どんなに堅牢なシステムでも、ユーザーさんが弱いパスワードを作ってしまったり、同じパスワードを複数サイトで使い回してしまったり、フィッシングに引っかかってしまえばアカウントは乗っ取られてしまいます。

近年フィッシングが急増していることからもわかるように、パスワードだけのシステムでは守りきれない世の中になってきているというのが現実です。

最近増えてきている二段階認証ですら、フィッシングの前には完璧ではないという現実もあります。

ここで思い出してほしいのが、認証の三要素 - 知識、所有、生体です。これまでパスワードは「知識だけ」を使ったものでした。

これを複数要素にすることで、認証がより堅牢になると言われています。

二段階二要素認証を実現するWebAuthnとFIDO

そこで登場するのが「WebAuthn」です。WebAuthnは、FIDO Allianceが主導してW3Cで作られたWeb標準技術です。FIDO AllianceはGoogleやMicrosoft、Yubicoなど、業界の認証を改善しようという企業が集まって作られた団体であり、対応するハードウェアの標準化なども行っています。

WebAuthnは、公開鍵ペアを作り安全に保管できる、認証機と呼ばれるFIDO標準に対応したハードウェアを制御するためのブラウザ機能です。

FIDOを使えば、パスワードによる知識認証と所有認証を司るセキュリティキーを組み合わせることで二段階二要素認証が実現できます。

とくに、FIDOクレデンシャルはオリジンと紐づくため、フィッシングに強いという特徴があります。実際、これによってほぼ鉄壁の守りを実現したという報告をGoogleが出しています。

プラットフォーム認証機を使った再認証

とはいえ、セキュリティキーをユーザーひとりひとりに購入してもらうのは、エンタープライズ環境などであれば良いのですが、一般ユーザには現実的ではありません。

そこで登場するのがプラットフォーム認証機です。プラットフォーム認証機は、スマートフォンやコンピュータに含まれているもので、デバイスのアンロック機能として、生体認証も含めてセキュリティキーと同様の働きをします。

これにより、所有認証だけではなく、生体または知識の認証も同時に満たすことができるため、一段階二要素認証が実現できるというところがポイントです。

これを使うとログインが劇的に進化します。ユーザーさんはパスワードを入力することなく、生体認証一発で本人であることが証明できるからです。

これはPayPalやYahoo! JAPAN、Googleのパスワードの確認ページなどで実用化されています。とくに「再認証」と呼ばれる、一度ログイン済みのユーザーの確認に用いられるケースが多いです。

ただ、これですべてのサイトがパスワードを廃止できるかというと、まだそういうわけにはいきません。なぜなら、認証キーを作成したクレデンシャルがデバイスの外に出ることはないので、たとえば、新しいデバイスを使う際には、再度別の方法で一覧ログインし直さなければならないからです。その際はまだまだ弱点の残るパスワードやSMS、メールなどを使わなければならないため、そこを攻撃されてしまうのであればWebAuthnで安全性が向上したことにはなりません。