“パスワードレス認証への道" ユーザー認証の変遷とパスキーの関係

by ritou

Slide 1

Slide 1 text

“パスワードレス認証への道" ユーザー認証の変遷とパスキーの関係 @ritou 2025/4/17 #O ff ers_DeepDive

Slide 2

Slide 2 text

このお話のGOAL: ユーザー認証方式の関係を理解する 2

Slide 3

Slide 3 text

• NIST SP 800-63など各種ガイドラインでは当人認証(Authentication)と表現されることが多い • サービスに登録している対象ユーザーを識別、クレデンシャルを検証することで当人性を確認することユーザー認証とは？ 3

Slide 4

Slide 4 text

①パスワード認証 4

Slide 5

Slide 5 text

• 準備 • ユーザーがパスワードを覚えておく • サービスはパスワード(のハッシュ値など)を保存 • 認証 • メールアドレスや電話番号、ユーザーIDとパスワードをフォームに入力して送信 • 同時に検証 or 識別後にパスワードの検証 • 特徴 • 特定のデバイスを必要としないパスワード認証 5

Slide 6

Slide 6 text

パスワード認証のユーザー側の要件に対する現状 • 推測困難なパスワードの利用 • 推測可能なパスワードを利用 • サービス毎に異なるパスワードを記憶 • 使い回す -> パスワードリスト攻撃 • 別々にすると忘れる -> リセットの手間、サービス側のコスト • 正規のサービスのみに入力 • フィッシングサイトの判断は困難パスワード認証 6

Slide 7

Slide 7 text

パスワード認証のサービス側の要件に対する現状 • 推測困難なパスワードを受け入れる • 利用可能な文字種や最大文字数の制限 • パスワードを適切に管理する • 復元可能な状態での保存、漏洩 • 各種攻撃への対策 • フィッシング、ブルートフォース、パスワードリスト/スプレー等パスワード認証 7

Slide 8

Slide 8 text

②多要素認証とパスワードレス認証 8

Slide 9

Slide 9 text

• 攻撃対象は大手サービスから中小規模のサービスまで • 大手サービスでなければ価値がないわけではない • ユーザー識別子とパスワードのリストの精査 • 短期的な対策(=応急処置)としての追加認証 • 登録済みのメールアドレスや電話番号へのOTP送信 • ソフトウェアTOTP • 認証アプリパスワード認証への攻撃が激化 9

Slide 10

Slide 10 text

異なる認証要素を用いる認証方式の足し算 →多要素認証 OTP/TOTP/認証アプリセキュリティキー or 別の認証要素を利用する認証方式を追加してパスワード認証突破時のハードルを設けるパスワード認証＋ ←知識情報の利用 ←所持情報の利用 10

Slide 11

Slide 11 text

多要素認証からパスワード認証を引き算 →シンプルなパスワードレス認証 SMS OTP Email OTP/マジックリンク or パスワード認証＋ ←課題があるなら最初から使わない ❌ メールアドレスや電話番号など識別子を含む方式でシンプルなパスワードレス認証を実現 11

Slide 12

Slide 12 text

多要素だけじゃダメですか？ • 多要素認証で使われている方式 • メール, SMS OTP • TOTP • 認証アプリ • セキュリティキー 12

Slide 13

Slide 13 text

多様化するフィッシング攻撃 • リアルタイム/中継型と呼ばれるフィッシング攻撃 • 偽サイトに入力された値を正規のサービスに送り、最終的にログインセッションを奪う 13

Slide 14

Slide 14 text

認証方式におけるフィッシング耐性 →システムによる判定 • パスワードマネージャーの自動入力機能 • 登録時のドメイン比較して自動入力を判定 • 判定ロジックはパスワードマネージャー依存 • 動作しない時に手動入力が可能 • ユーザーに利用を強制できない 14

Slide 15

Slide 15 text

クレデンシャルの漏洩リスク • 登録/ログインのクレデンシャル入力時、通信経路: パスワード、OTP、TOTP • デバイス、サービスから漏洩: パスワード、TOTP Secret 15

Slide 16

Slide 16 text

④FIDO認証 16

Slide 17

Slide 17 text

FIDO認証 • パスワード認証の課題を解決することにフォーカス • 公開鍵暗号方式の利用 • 端末のセキュアな領域にクレデンシャルを保存 • ブラウザの仲介によるフィッシング耐性 • デバイスのローカル認証と組み合わせて多要素認証を実現 17

Slide 18

Slide 18 text

FIDO認証と公開鍵暗号 • デジタル署名の生成、検証の仕組みを利用 • サービス側からのクレデンシャル漏洩リスクの軽減 • サービスから指定されたチャレンジの値を含むことでデジタル署名の使い回しを困難に • フィッシング耐性とは無関係 18

Slide 19

Slide 19 text

FIDO認証のフィッシング耐性 • サービスが指定したオリジンとの比較による対象判定 • 判定ロジックは標準化されたもの • 動作しない時、手動入力は困難 • ユーザーに利用を強制できる 19

Slide 20

Slide 20 text

セキュリティキー • 多要素認証のための追加認証の方式(所持情報)として登場 • 所有者との紐付けを確認したい場面がある • PINなどのユーザー検証と組み合わせ • コンシューマ向けの課題 • 有料で購入する必要がある • 保存できるクレデンシャルの数に限界がある 20

Slide 21

Slide 21 text

プラットフォーム認証器 • スマートフォンのセキュア領域にクレデンシャルを保存 • セキュリティキーよりも多数保存可能 • 端末紛失、機種変更時に全てのサービスに削除、再設定の手間が発生 • 使い慣れた画面ロック解除と組み合わせて多要素認証を実現 • PIN、パターンロック、生体認証(顔、指紋) 21

Slide 22

Slide 22 text

④パスキー認証 22

Slide 23

Slide 23 text

パスキー認証 • パスワードマネージャーにクレデンシャルを保存し、複数端末での同期を許容 • 秘密鍵の管理という観点でセキュリティ低下 • 端末紛失、機種変更時の手間を改善して実用的に • プラットフォーム謹製、およびサードパーティーなパスワードマネージャーが利用可能 23

Slide 24

Slide 24 text

FIDO認証からパスキー認証へ 24

Slide 25

Slide 25 text

パスキー認証＝理想のユーザー認証? • これまではパスワード認証の課題にフォーカスしていた • 今後はパスキー認証の課題にフォーカスする必要性がある • このあたりの説明はAuth屋さんにお任せ 25

Slide 26

Slide 26 text

ユーザー認証方式の関係 26 パスワード認証多要素認証 FIDO認証シンプルなパスワードレス認証パスキー認証別の認証要素を足し算パスワード認証を引き算パスワードマネージャーの管理による利便性向上公開鍵暗号方式の利用とフィッシング耐性セキュリティキー＋ユーザー検証パスワードレス認証

Slide 27

Slide 27 text

まとめ • 認証方式の変遷は脅威と対策の繰り返しによるもの • 足し算(多要素認証)、引き算(シンプルなパスワードレス) • 認証要素 + フィッシング耐性 • サービスを安全、便利に利用してもらうためには身元確認、ID連携などと合わせて考える必要がある • マイナンバーカード、デジタル認証アプリ(OIDC)、Digital Identity Wallet 27

Slide 28

Slide 28 text

終わり 28