「パスキーのすべて」輪読会（1.1 パスワード）

https://idance.connpass.com/event/350105/

Transcript

1. パスキーのすべて 1.1 パスワード てつ（@tetsu_1008）
2. パスワード認証の仕組み ユーザー名 パスワード 事前に登録されたユーザー名・パ スワードとの一致を確認 ユーザー サービス
3. パスワード認証の問題点 問題点 何が嫌か？ ユーザーが弱いパスワードを作ってしまう パスワードを簡単に推測できてしまう ユーザーが同じパスワードを使いまわしてしまう パスワードが漏洩した場合に、他のサービスにもログイ ンされてしまう ユーザーがフィッシングサイトにパスワードを入力して しまう フィッシングの被害に遭ってしまう（それはそう） （勝手に追加）サービスが安全な方法でパスワードを保 存しているとは限らない パスワードが漏洩してしまうかも（それはそう） （勝手に追加）パスワードがネットワークを流れてしまう パスワードが漏洩してしまうかも？ →TLSで保護された通信（HTTPS等）であれば大きな 懸念はない気がする
4. そんなこと言われても 世の中、パスワード認証のサービスだらけだし 全部でお行儀よくするなんて無理 → パスワードマネージャーを使いましょう 例：Appleのパスワードマネージャー
5. パスワードマネージャーを使うことの利点 利点 何が嬉しいか？ サイトごとに強力なパスワードを自動生成してくれる 弱いパスワード、パスワードの使い回しを防ぐ 入力したパスワードや自動生成したパスワードを保存 して管理してくれる ユーザーが安全でない方法でパスワードを保管するこ とを防ぐ（そして便利） ドメインの一致するサイトでのみパスワードを自動入力 してくれる フィッシングの被害に遭いづらくなる 「あれ？自動入力されない」 → 偽サイトかも 異なるデバイスでも、保存していたパスワードを同期し てくれる ユーザーが安全でない方法でパスワードを保管するこ とを防ぐ（そして便利） 保存しているパスワードが漏洩していないかをチェック してくれる 嬉しい（嬉しい）
6. パスワードマネージャーの問題点（というより課題？） • 利用を強制はできない • 稀にコピペが必要なケースも ◦ ユーザーがこれに慣れてしまうと、フィッシング被害に遭う可能性が上昇
7. Webブラウザのパスワード保存は安全ではない？ 有識者求む • PCのローカルにパスワードが保存されるから？ • 悪意のある拡張機能やスクリプトからWebブラウザのAPI経由で保存されたパス ワードにアクセスできてしまうから？ • たとえばMicrosoft Edgeのパスワード保存はどうなの？