パスキー認証の必須化/強制についての現状の課題と改善のための勘所 - r-weblife

ritou です。 Digital Identity技術勉強会 #iddance Advent Calendar 2024 初日の記事です。今年も頑張りましょう。 qiita.com パスキー認証の理想と現実 パスキー(というかFIDO)認証はパスワード認証を用いた脆弱な現状を打破すべく考えられた仕組みです。メディアの取り上げられ方はこんな感じでした。 とても安全で便利な仕組み プラットフォームを跨いだ利用が可能 パスワードを置き換える 1の安全性については技術的に説明されています。最もシンプルな使い方であれば「慣れ」ることで便利さも感じられるかと思います。 2はプラットフォーマーやパスワードマネージャーが頑張っているところです。Appleがいち早く同一プラットフォーム、クロスデバイスな環境における同期を確立、Google Password ManagerはChromeが動作する環境でパス

[ritou]

リカバリーの話書くの忘れた！また今度！→ユーザー向けの啓蒙とリカバリーの話を追記しました。

[kaorun]

Passkeyの問題はプロトコルと実装の想定していないパターンが大量にあって、登録済みのiPhoneなのにiPhoneで読み取れとQRが出たり、登録済み端末でパスワード認証するとPasskey登録画面に進んだりおかしな動きが蔓延してる所

[hironagi]

パスキーの話って実装側の話ばかりで利用者目線の話が全然出てこないのなんでなの。"「パスワードマネージャーを使いましょう」一択" まだパスキー使うなってこと？よくわからん。

[SATTON]

まさにリカバリー方法に関する案内が無い(不足ではなく)のが課題なんやで。/端末故障して詰んだコトあると使おうとは思わんよ。

[ata00000]

前職(情シス)で同僚がOTPでMicrosoft Authenticatorを入れたときに「ログインするのにスマホを出すのが面倒」と大量の苦情が来たらしいので、ユーザー向けの啓蒙だけでなんとかなる話でもないのではと思ったりもする。

[cinefuk]

"悩ましいのがクロスデバイス、クロスプラットフォーム対応について。 メルカリの場合、モバイル端末でメルコイン用にパスキーを登録した後に、PCのログインでパスキー認証が求められて大変だったわ〜、みたいなのが"

[ya--mada]

「パスワードマネージャー使え、一択です。」、それ同意。世の中では何故か「紙のノート意外にイイ」という言説が目立つのは、1passwordやdashlaneにリーチ出来ない人向け。パスワードはスマホに保存してくれ、が最初。

[hylom]

2要素認証とパスワードの置き換えという全然異なるユースケースが混在しているのが混乱の元になっているのでは。それはそれとしてハードウェアトークンをもっと色々なサービスで使えるようになって欲しい

[JULY]

せっかく名前に「key」＝「鍵」が入っているのに、その「鍵」というメタファーを生かしていない気がするんだよなぁ。デバイスがキーボックスで、デバイスが変われば、鍵を持ち出すか合鍵を用意するか、となる。

[onionskin]

Passkeyのクエリがうまく効かないのに加えて、パスワードマネージャがGoogle/Apple/Windowsと3rd partryで競合してるときの挙動がな…

[mohri]

クロスデバイス・クロスプラットがインプットレスでチャレンジできるかどうかがさすがに認証の領域だと不安で試せないというのはある。まあちゃんとインプットしろよという話だけど、そのモチベがどこかにあれば

[lyiase]

Passkeyの実装は恐らくGitHubの実装が一番キレイでUXが良いと思っている。強制する場合もパスワードの再入力の代わり、MFAの代わりとか、「設定すると楽になる設計」にして代替措置を用意するって言うことが大事だと思う。

[knok]

PSNで有効にしたがちゃんと動いてないケースが見られて困ったので結局無効化した。運用側のノウハウまだ足りなさそう

[lli]

デスクトップFirefoxで使う場合にパスワードマネージャーを Appleなり Microsoft製のものなりに置き換え切れない。Firefox内蔵のものに加えてもう一種類有効化するのは使う際に煩雑。

[sato0427]

iPhoneのChromeもGoogle Authenticatorもパスキー対応してないんだけど早く対応してほしい。クロスプラットフォームが解決しないと使う気にならないのよ。

[miki3k]

モバイルで登録したら、PCでログインできないので解除したサービスもあった。端末ごとに登録すればいいらしいが、ログインできないので登録できないというデッドロック

[tamanecoplus]

パスキー導入に関してはCS担当を説得するのが最初のハードルだと思ってる

[yggdra_w]

“です。 Digital”

[hobbiel55]

だいたいの主要なサービスはモバイル端末とPCの両方から使ってるので、その辺りの運用がどうなるのか分かる説明が登録フロー中でされてないと不安で移行する気になれない。

[Shinwiki]

デバイスの盗難ってどうなんの

[peatnnuts]

メルカリが導入当初ミスってたよな

[umaemong]

パスワード使い回すような低リテラシーな人にこそ必要な仕組みなんだけど、そういう人達には未だ難しいよな。パスワード忘却時と同程度のリカバリ手段があればいいのだけど…

[number917]

二段階認証するんなら全部OTPのパスワードレスでいいよなってやつ

[cbkf]

passkeyというかFIDO指紋認証を試したいとずっと思っているのだけど、床置きタワーと相性悪くて。その為だけにUSBハブ買い置くのも嫌だし。キーボード側面などにあるのが(認証モジュール取り付けられる規格が)理想。

[ku__ra__ge]

パスキーって初回サインアップのあとは、自動送信オンリーで認証情報入力するという操作自体を無くすわけにはいかんの？

[NOV1975]

トラブルのユースケースがまちまちのうちは使いたくない。

[mas-higa]

昔 OpenID で痛い目に合ったので

[hanenone]

利用者的には「パスキーが格納、管理できるパスワードマネージャーを使用しよう」、なのだけどイメージがわきづらい。AppleのiOSのパスワードマネージャーがOS直で使いやすいから、これで普及してほしい。