パスキーでも被害に遭うデバイスコードフロー攻撃とは？ ～ Entra ID での防御と検証方法を解説 - Qiita

はじめに 私はパスキーに出会って以来、「これこそが本来あるべき認証の姿だ」と強く感じるようになり、それ以降、積極的にパスキーを推進してきました。 そんな中、パスキーを利用していても攻撃を受ける可能性がある手法として、「デバイスコード フローを悪用したフィッシング攻撃」の存在を知り、大きな衝撃を受けました。 パスワードレス認証を推進している立場として、「パスキーを使えば安全」という説明だけでは不十分です。どのようなリスクが残されているのかを理解し、その対策まで含めて伝えなければならないと考え、この仕組みについて調査を始めました。 調べてみると、この攻撃手法は最近になって注目されるようになったものの、デバイスコード フローそのもののリスクは以前から指摘されていました。むしろ、MFA やパスキーの普及によって従来のパスワード攻撃が難しくなった結果として、攻撃者が別の経路を狙うようになったとも考え

[secseek]

パスキーに関しては、パスキーそのものは破れないからその周辺を攻めようという話になってきていますね。ほかにも復旧手順を狙うとか認証済みのセッションを奪うとかがあるようです