WebAuthnでパスワードレスなサイトを作る。安全なオンライン認証を導入するFIDOの基本 - エンジニアHub｜Webエンジニアのキャリアを考える！

WebAuthnでパスワードレスなサイトを作る。安全なオンライン認証を導入するFIDOの基本 FIDO（Fast IDentity Online）とは、公開鍵認証方式を応用し、オンライン経由で認証を行う仕組みです。パスワード認証の安全性は限界が指摘されるなか、Webサイトにおいても生体認証などパスワードレスな仕組みを導入する企業が増えており、このFIDOやWebAuthnに注目が集まっています。Capy株式会社で情報セキュリティに関する研究開発や分析などに携わる、松本悦宜さんの解説です。 こんにちは、松本悦宜（@ym405nm）です。 FIDO（ふぁいど）に関しては、昨年（2018年）から多くのメディアや技術ブログで取り上げられ、導入するWebサイトも増えています。 FIDO2プロジェクトにおいて話題になったWebAuthn（Web Authentication API）についても、主なW

[camellow]

鍵認証の秘密鍵パスフレーズにハードウェアトークンや生体認証を使うだけのように思えるのだけど何かキモを見落としてるか？それにID/パスワードを廃止できないような気もするんだが…よくわからん。

[tanupig]

“Iの詳しい仕様に関しては、WebAuthnを策定しているW3Cのドキュメントや、Mozillaの提供している”

[h1t0cH1]

あとで読んでみる

[kid37]

そのうちやることもあるかもなのでメモ。快適そうだけどFIDO一本になると破られた時の被害が尋常じゃなくなるのだけ気になる

[harusada]

ex

[shikiarai]

林檎でtouch idのキーが脱獄で取れる脆弱性とかあったとかなんとか聞いたからいまいち移行しきれない

[fashi]

生体認証って大概うまくいかない時のためにパスワードも受け付けるように実装されるからスマート化とかショルダーハック対策にはなるけど安全にできるかどうか…

[einherjar]

webauthn fido fido2

[koogawa]

“Safariは対応していないため、他にWebブラウザの選択肢がないiOS端末では、WebAuthnを使用することができません” うん。わかってた

[Cru]

一応、スマホ側の公開鍵で端末の正当性を確認できるのかもだけど、指紋とか顔とか、盗ろうと思えば、盗ること自体の難度が高くなさげなのがちと不安かな。認証パスする複製作れるかが問題だといいんだけど。

[ohsawa0515]

おおお、スゲェと思って WebAuthn Demo に行ってみたけど、iOS Safariは未対応だって😰

[Mattsun39]

これは良いですね。WordPressのログインもFIDOになれば、改ざんとか減るのかなぁ〜。

[hamamuratakuo]

FIDO（ふぁいど）　WebAuthn（Web Authentication API）

[nisisinjuku]

スマホのみ。って話になったら一気に進むだろうね。便利そうだしな。