「パスキー」って一体何だ？ パスワード不要の世界がやってくる
Apple、Google、Microsoftという3大OSベンダーが揃ってサポートを表明している「パスキー（Passkeys）」。パスキーを使うことで、パスワードが不要になり、フィッシングや成りすまし、流出などのセキュリティ問題が一気に解決するほか、パスワードをメモしたり覚えたりする必要がなくなる。果たして、パスキーによってパスワード不要の世界はやってくるのだろうか。 パスキーでログインはこう変わる パスキーとは一体何か？ 理屈や背景を説明する前に、デモサイトの「Passkeys.io」にアクセスしてみるのが分かりやすい。パスキーは生体認証とセットの技術なので、指紋認証機能を備えたPCや、指紋／顔認証を備えたiPhone、Androidなどでアクセスしてみよう。
パスワードを使わない認証技術「FIDO」が進化 デバイスやOSを越えて利用可能に
Googleの各種サービスやYahoo! Japan、LINE、オンラインバンキング、オンラインショッピングなど、Webサービスの利用で頻繁に使うことになるパスワード。ログインしようとしている人が本人かどうかを認証するための仕組みとして使われているが、フィッシング詐欺やパスワードリスト攻撃など、犯罪者による攻撃が後を絶たず、個人情報や金銭が詐取される被害が頻発している。 そうした問題に対抗する技術として、パスワードを使わない認証技術「FIDO」を推進するFIDOアライアンスが、普及に向けた取り組みを加速している。FIDOアライアンスが主催するイベントに合わせて来日したエグゼクティブディレクター兼最高マーケティング責任者であるアンドリュー・シキア氏と、FIDOを推進するNTTドコモのチーフセキュリティアーキテクトである森山光一氏が、FIDOと新しいパスキーに関して説明。FIDOでは、「パスワ
侵入前提型防御も重要な今、なぜ「特権アクセス保護」（PAM：Privilege Access Management）が必要なのか
侵入前提型防御も重要な今、なぜ「特権アクセス保護」（PAM：Privilege Access Management）が必要なのか：ゼロトラスト時代の特権IDの守り方（1） 古くて新しい「特権アクセス保護」（PAM：Privilege Access Management）について技術的内容を分かりやすく解説する連載。初回は、そもそも「特権」とは何か、特権の持つ特徴リスク、抱える課題などについて整理する。 本連載「ゼロトラスト時代の特権IDの守り方」では、古くて新しい「特権アクセス保護」（PAM：Privilege Access Management）について技術的内容を分かりやすく解説します。「そもそもPAMって何？」という方や、PAMについて検討し始めた方にはぴったりの内容です。 初回は、そもそも「特権」とは何か、特権の持つ特徴リスク、抱える課題などについて整理します。 そもそも「特権」と
「予測されやすいパスワード」有名サイト75％で許可 米プリンストン大が警鐘
Innovative Tech： このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。 米プリンストン大学の研究チームが発表した「Password policies of most top websites fail to follow best practices」は、Webサイトで新しくパスワードを設定する際にユーザーが保護される仕様になっているかを調査し考察した論文だ。世界で最も人気のある英語圏のWebサイト120のパスワードポリシーを調査した。 結果は、120サイト中13％しかベストプラクティスではなかった。具体的には、75％のWebサイトが「abc123456」や「P@$$w0rd」のような最も推測されやすいパスワードの選択を許可しはじかなかった。 また45％が数字
電話番号に届く認証番号を使った「2要素認証」はもはや安全ではない
ネットサービスのアカウントを作ろうとして、「セキュリティのために電話番号も入力してください」とのメッセージに遭遇したことがある人は多いはず。パスワードと電話番号に届いた認証コードの両方でログインする「2要素認証(2FA)」は強力なセキュリティとして重宝されていますが、ハッカーにとってはほとんど無意味だとセキュリティ企業が警鐘を鳴らしています。 Bypassing 2FA - Secret double octopus https://doubleoctopus.com/blog/threats-and-alerts/bypassing-2fa/ 企業向けのパスワードレス認証技術を手がけるDouble Octopusによると、そもそもパスワードを用いること自体が基本的に安全なものとは言えないとのこと。そのため、2FAを導入したログイン方法もその場しのぎの対処法に過ぎず、せいぜいパスワードだけ
多要素認証が効かない「Pass-the-cookie攻撃」の緩和策
前編（多要素認証が効かない「Pass-the-cookie攻撃」の仕組み）では、Pass-the-cookie攻撃の概要と仕組み、リスクを解説した。後編ではPass-the-cookie攻撃を緩和する方法を紹介する。 MFAを無効にする攻撃が内包する「広範囲に広がる」という性質により、ユーザーのリスクは大きくなる。Bitdefenderのアーセン氏は次のように話す。「Cookieとセッションのハイジャックは、特にSSO（シングルサインオン）を導入している企業にとっては非常に懸念される。サイバー犯罪者は盗み出したCookieやセッションを使ってそのIDが関連付けられた複数のWebアプリケーションにアクセスする可能性がある」 OneSpanのフレデリック・メネス氏（製品セキュリティ部門ディレクター）もこのリスクが注目に値することに同意し、次のように話す。「Pass-the-cookie攻撃の実
多要素認証が効かない「Pass-the-cookie攻撃」の仕組み
最近の一連のサイバー攻撃は、多要素認証（MFA）の有効性に疑問を投げ掛けている。 2021年1月初め、米国土安全保障省サイバーセキュリティおよびインフラストラクチャセキュリティ庁はアラートを発し、クラウドの構成を強化するよう助言した。 同庁によると、リモートワークの急増でクラウドサービスへのアクセスに使う端末に企業端末と個人端末が混在するようになったことにより、こうした攻撃が多発している可能性が高いという。 サイバー犯罪者はフィッシングやログインの総当たり攻撃など、多種多様の技法を駆使している。MFAを突破する「Pass-the-cookie攻撃」も仕掛けている。 MFAは魔法ではない Pass-the-cookie攻撃自体は新しい脅威ではない。Tessianのトレバー・ルーカー氏（情報セキュリティ部門責任者）によると、これはかなり標準的な攻撃で、セッションCookieのアクセス権を手に入
「パスワードレス認証」が進行中 FIDOで変わる、セキュリティの常識
「素因数分解」を覚えていますか？ ある自然数を素数の積で変換する計算です。例えば「15」なら「3×5」。この例であれば簡単ですが、では「11088899」は？ ――これを見ただけで素因数分解できる方はほとんどいないでしょう。正解は、「3329×3331」。 しかし、これが「3329×3331は？」という問題であれば、計算は簡単です。つまり「3329×3331＝11088899」という計算式には、3329と3331の積算は簡単なのに、11088899の素因数分解は難しいという非対称の関係があるのです。この性質は一方向性関数と呼ばれ、暗号にも活用されています。 閉める鍵と開ける鍵が別にある「公開鍵暗号方式」 セキュリティ技術の代表「暗号化」においては、サーバ側と自分で共通の鍵を持つ「共通鍵暗号方式」がすぐに思い浮かぶと思います。共通鍵は玄関の鍵に例えられる通り、情報の発信者と受信者で同じ秘密を
2段階認証の新しい形、Googleの「Titan セキュリティ キー」ってどう使う？～Google「Titan セキュリティ キー」レビュー
2019年08月27日 TEXT：山口真弘（ITライター） 今年の夏、某スマホ決済アプリの記者会見をきっかけに注目を集めることになった「2段階認証」。経緯はさておき、この件をきっかけにこの言葉を知った人も、実は多いのではないでしょうか。 2段階認証は、パスワード以外に別の認証方法を組み合わせ、セキュリティを強固にする仕組みです。オンラインでの銀行振込にあたり、パスワードとIDに加えてワンタイムパスワードが必要になる、あの仕組みといえば分かりやすいでしょう。 今回紹介するGoogleの「Titan セキュリティ キー」は、PCのUSBポートに差し込むことで、こうした2段階認証に利用できる物理キーです。もともとGoogle社内で用いられていたものが、昨年になって一般にも発売され、日本でも今年夏から入手可能になったという経緯があります。 パッケージ。USBタイプとBluetoothタイプの2種類
Android端末によるセキュリティキー、iPad/iPhoneでのGoogleアカウントログインもサポート
米Googleは6月12日（現地時間）、AndroidスマートフォンをGoogleアカウントにログインするための二段階認証のセキュリティキーとして使う機能を、iOS端末でも使えるようにしたと発表した。App Storeで公開された「Smart Lock for iOS」をインストールした、iOS 10.0以上搭載のiPadおよびiPhoneで利用できる。 この機能は、4月にWindows、macOS、Chrome OS向けとして発表された。「Android 7 Nougat」以降搭載のAndroidスマートフォンをPCに近づけるだけで、Chromeブラウザから2段階認証を設定してあるGoogleアカウントへのログインが可能だ。双方でBluetoothを有効にしておく必要がある。
グーグル、Androidスマホに組み込みのセキュリティキーを使った2段階認証を可能に
Googleは、「Android 7.0」以降を搭載するスマートフォンで、組み込みのセキュリティキーを使用できるようになったと発表した。現在提供されているものはベータ版で、2段階認証プロセスによりGoogleアカウントや企業などが利用する「Google Cloud」アカウントなどの保護を強化できるとしている。 「新しいAndroidスマートフォンのほぼすべてにセキュリティキーが含まれていると考えてほしい。それは、10億人以上のユーザーにとって非常に使いやすいフォームファクタだ」と、GoogleのTrust and Securityマーケティング責任者を務めるRob Sadowski氏は先週、報道陣に述べた。「これを認証のツールにすれば、使いやすいし、いつでも利用できる」（Sadowski氏） セキュリティキーは、多要素認証（複数の方法によってログインの権限を持つユーザーであることを証明する
パソコンに差す「新しい鍵」が、パスワードを時代遅れにする - ライブドアニュース
2018年10月16日 9時30分 by ライブドアニュース編集部 ざっくり言うと パソコンに差しこむ鍵のような新世代製品「YubiKey 5」が発表された 差し込んでタップすれば、パスワードなしでログインが可能になるというもの 今後、マイクロソフトをはじめとする各社が導入を予定しているという オンラインのアカウントで2要素認証を有効にし、＋αの保護を行うことは皆さんにとっても“常識”だろう。このパスワードに加わる第2の要素として最も普及している手法は、アプリ経由でスマートフォンに数字を送るというものだ。 一方で、コンピューターに差し込む物理的なトークン［日本語版記事］も人気が高い。そんなトークンがいま、パスワードを時代遅れにしようとしている。 スウェーデンの認証用ハードウェアメーカーであるYubicoは、このほど物理トークンによる「パスワードなしのログイン」に対応する新世代製品「Yubi
マイクロソフトが"パスワード時代の終わり"を宣言--Igniteで発表されたセキュリティ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます Microsoftはフロリダ州オーランドで開催中の「Microsoft Ignite 2018」イベントで、パスワードを使わないサインインを可能にするアプリ「Microsoft Authenticator」が、法人向けID管理サービス「Azure Active Directory」（Azure AD）サービスをサポートするようになったと発表し、「パスワード時代の終わり」を宣言した。 セキュリティの強化によるクラウドサービスの差別化を目指しているMicrosoftは、セキュリティレベルを向上させつつ、ユーザーのサインインを容易にする一連の新機能を発表した。 AuthenticatorがAzure ADをサポートしたことで、企業はAuthe
中国でのべ2億件超の日本人情報が販売、企業流出も確認--ファイア・アイ
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます セキュリティ企業のファイア・アイは5月17日、中国でのべ2億件以上の日本人の個人情報が販売されていたと発表した。情報の中には同社の顧客企業から流出したデータが含まれていたことも確認したという。 ファイア・アイによると、販売されていた情報は2017年12月初旬に、インターネット上に掲載された広告で発見したものだという。同社傘下のセキュリティ調査会社iSIGHTが分析を行った結果、日本のウェブサイトや企業などから流出したデータである可能性が高いことが分かり、日本法人を通じて国内の顧客企業に照会したところ、過去のインシデントで流出した顧客情報の存在が認められたとしている。 のべ2億件以上の情報は個人や企業の従業員などのIDやパスワード、氏名、
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
W3C、パスワード不要のウェブ認証「Web Authentication」を勧告候補に
パスワードには問題があり、多くの人がパスワードを適切に管理していない。そこで代替策が、複数の主要ウェブブラウザでサポートされる。Google、Mozilla、Microsoftは今後、パスワード不要の認証方式を「Chrome」「Firefox」「Edge」の各ブラウザに組み込む見通しだ。 World Wide Web Consortium（W3C）は米国時間4月10日、FIDO Allianceから提出された「Web Authentication（WebAuthn）」の仕様を勧告候補（Candidate Recommendation）の段階に進めたと発表した。 これが実装されれば、ユーザー名とパスワードを使わなくても、一意の暗号鍵を使って別のデバイスにIDを保存することで、セキュリティを管理できるようになる。また、PIN（暗証番号）や、指紋、顔認証などの生体認証データを使って、オンライン接
さらば、パスワード Slackも採用したパスワードレス認証とは
さらば、パスワード Slackも採用したパスワードレス認証とは：半径300メートルのIT（1/2 ページ） セキュリティがテーマのこのコラムで、最もよく出てくる話題といえば、「パスワード」。管理する側もされる側も悩みがつきないのがこの問題です。 パスワードは、“あなたがあなたであることを証明するための仕組み”であり、漏れると「なりすまし」の危険にさらされてしまいます。これがお金に直結する金融関連のものだったり、SNSの不正な投稿によって「炎上」したりするようなものだったら目も当てられません。最悪の場合、生活を脅かされることだってあるでしょう。パスワードはそれほど身近で重要なものなのです。 そんなパスワードですが、ずいぶん前から「この仕組みを変えよう」という試みが始まっています。 これまでは、強いパスワードというと、“1つ以上の記号が含まれ、大文字小文字が混在し、数字も入っているもの”という
産総研の新たなパスワード認証方法が国際標準化 - IoT機器などでの活躍に期待
産業技術総合研究所(産総研)は2017年11月9日、以前から提唱していた「AISTパスワード認証方式」及び「AIST匿名パスワード認証方式」が国際標準規格ISO/IEC 11770-4:2017、ISO/IEC 20009-4:2017として発行されたことを発表した。 従来のID/パスワード認証は通信経路から情報を抜き取るスニッフィング被害の危険性があるため、通信内容の暗号化や公開鍵証明書を用いたサーバー認証を行うTLS(Transport Layer Security)を利用してきた。産総研によれば、従来のパスワード認証方式として用いるDiffie-Hellman鍵交換などと比較して、クライアント及びサーバーの計算量(べき剰余演算の回数)を軽減した「AugPAKE」に基づいたのが、AISTパスワード認証方式。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「事業者はID・パスワードが盗まれる前提でシステム設計を」、リスト型攻撃を防ぐためにヤフーが推進するパスワードレス認証 
ComputerworldとCIO Magazineは閉鎖しました