平素よりはてなをご利用いただきありがとうございます。 先日リリースいたしましたはてなIDのパスキーにおいて、パスキーの名前(パスキー名)を設定できるようにしました。 複数のパスキーを管理する際などにどうぞご利用ください。 パスキー名の詳細な設定方法は下記のヘルプをご参照ください。 はてなヘルプ‐パスキー名の設定・変更をしたい
English version of this article is available here. はじめに こんにちは、マネーフォワード ID 開発チームの Yamato(@8ma10s)です。 マネーフォワード IDでPasskey autofillを利用したパスキー対応をリリースしてから、早いもので半年ほど経過しました。 今年5月にリリースしたパスキー利用状況レポート vol.1、8月にリリースしたパスキー利用状況レポート vol.2に続き、11月時点でのパスキー登録や利用状況のレポートをまとめます。 Vol.2以降に加えた変更 Vol.2 時点では、マネーフォワード MEを利用しているユーザーのみにプロモーションページを表示しており、法人向けプロダクトにログインしようとしているユーザーへのプロモーションは行っていませんでした。 8月末頃からは、マネーフォワード クラウドの各種プロ
「パスキー」にまつわる7つの誤解から学ぶ いくつ答えられる?:いまさら聞けないパスキーの正体(後編) AppleやGoogle、Microsoftがパスワードに代わる認証方法「パスキー」に移行しようとしている。だが、パスキーには誤解を生みやすい部分がある。後編では「7つの誤解」を紹介しよう。 パスワードや多要素認証とパスキーの違いについて紹介した前編公開後、任天堂やGitHubが相次いでパスキー対応を発表するなど、パスキーが盛り上がりを見せている。 今回は、パスワード管理ソリューションを提供する1Passwordの解説を基に、パスキーにまつわる「7つの誤解」を紹介しよう。 【誤解1】パスキーはパスワードを隠しているだけで実際には使っている パスワードを代替する技術の一つが多要素認証だ。多要素認証は物理認証や生体認証などを使って、デバイスのロックを解除したり、オンラインアカウントにアクセスし
【書評】『WEB+DB PRESS Vol.136』から学ぶ、パスキー(Passkey)導入で変わるセキュリティとUX 最近、認証技術を学んでいるときに「パスキー」という言葉をよく目にするようになりました。どうやら従来のパスワードの問題を解決する新時代の認証方式として注目を浴びているようです。しかし「パスキー」とはどのような認証方式なのでしょうか。 パスワード以外の認証方式と言えば「多要素認証」や「パスワードレス認証」がありますが、「パスキー」はこれらと比べて何が違うのでしょうか。 『WEB+DB PRESS Vol.136』の特集2『実戦投入パスキー』を読むことで、これらの疑問の答えが見つかります。 パスワードレス認証がなぜ登場したか、なぜ新しい認証方式であるパスキーが求められているのか。 ユーザーの体験に着目しながら詳しく解説してくれています。 このブログ記事では、全5章ある『WEB+
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます GitHubは米国時間9月21日、GitHub.comの全ユーザーがパスキーを利用できるよう一般提供を開始した。 パスキーは、パブリックベータ版が7月に提供されており、多くの開発者が導入したと同社は述べる。今回の一般提供は、2023年末までに全てのコントリビューターを2要素認証(2FA)で保護し、ユーザー体験を損なうことなくプラットフォーム全体でセキュリティを強化するという同社のコミットメントを継続するものだという。 アカウントにパスキーを登録するには、アカウントのセキュリティ設定で「Add a passkey」をクリックする。セキュリティキーを設定済みの場合、「Upgrade」オプションが表示される。 パスキーは比較的新しい認証タイプ
Webアプリケーションの認証からパスワードを無くす動きが加速している。2022年9月以降、米アップルと米グーグルが、スマートフォンやパソコンのOSやWebブラウザーに「パスキー」と呼ばれる仕組みを相次いで採用。複数の端末からWebサイトにパスワードレスでログインできるようにした。パスキーはパスワードレス普及の切り札となる可能性がある。 有力ベンダーが続々対応 パスキーを採用する動きが国内外の有力ベンダーで盛んだ。2022年3月にFIDOアライアンス▼がパスキーを提案すると、アップル、グーグル、米マイクロソフトがOSへの搭載を表明。同年12月時点ではアップルが「iOS 16」と「macOS Ventura」に、グーグルもベータ版ながら「Android」に搭載した。マイクロソフトの「Windows」も近日中に対応する。 日本のベンダーも自社のネットサービスでの対応を進める。例えばヤフーが「Ya
Googleは10月12日(現地時間)、Android Developers Blog「Android Developers Blog: Bringing passkeys to Android & Chrome」において、AndroidとChromeに次世代の認証方式標準である「パスキー(Passkeys)」のサポートを追加したことをアナウンスした。パスキーを使用すれば、ユーザーはパスワードを使うことなく、アプリやWebサービスに安全にログインすることができるようになる。 パスキーは、FIDO Allianceが策定する「FIDO/WebAuthn」仕様に基づいて実装されているパスワードレス認証の次世代標準技術である。AppleやMicrosoftが中心となって開発が進められており、従来のパスワードを、スマートフォンなどの認証用デバイスに保存された一意のデジタルキーに置き換え、インターネ
こんにちは、プラットフォーム開発部で認証認可基盤の開発を担当しているabcangです。 先日pixivでパスキーが利用できるようになりました。パスキーはパスワードに代わる認証方法で、顔認証・指紋認証・PINなどのデバイスの認証機能を使ってpixivや関連サービスにログインすることができます。 パスキーはデバイスやクラウドサービス(iCloudやGoogleなど)ごとに作成する必要があるため、1アカウントで複数のパスキーを作成することは一般的です。そのため、パスキーを削除するときなどに判別しやすくするには、パスキーに適切な名前をつけることが重要になります。しかし、ユーザーに適切な名前をつけてもらうのは大変なので、pixivでパスキーを作成した場合はそれらしい名前をデフォルトで設定しています。今回はそれらしい名前をどうやって設定しているかご紹介します。 AAGUIDを使用する AAGUID(A
ども、大瀧です。 アメリカで開催中のAWSセキュリティイベント AWS re:Inforce 2024 にて、AWS管理コンソールでのパスキー対応が発表されました。早速発表記事や試してみた記事が本ブログにアップされています。AWS CLIでも使えるのかなと思ったのですが、結果として現時点ではサポートしていないことがわかったので本ブログで試したこと、調べたことを報告します。 AWSドキュメント AWS IAMのドキュメントには、既にパスキーを設定するためのドキュメントがあります。(2024/06/13時点では英語のみ、日本語に切り替えるとパスキーの説明のないページになります) 従来の内容の日本語ページと見比べてみると、YubiKeyなどのFIDO2セキュリティキーは従来からサポートしていて、今回のパスキーサポートによってsynced passkeys(iCloudキーチェーンのようなデバイス
先日、ヌーラボでパスキーを導入しましたとニュースリリースをしましたが、「パスキー」を初めて聞くという方も多いかと思います。 このブログでは、パスキーについてなるべく簡単に説明したいと思います。 パスキーってなに? 「パスキー」は、パスワードの代わりになるものです。パスキーはパスワードよりもずっと安全で簡単に利用することができます。 パスキーを使うとヌーラボサービスにログインする時にパスワードの入力が不要になり、面倒で危険なパスワード入力をなくすことができます。 パスキーはFIDOという国際規格の認証技術です。 FIDOはフィッシングに強く、2段階認証のSMSや認証アプリよりも安全と言われています。 パスキーは簡単に使えるの? あらかじめパスキーを登録しておけば、ログインの際にパスキーを使ってログインすることができます。 登録もログインもとても簡単です。 手順を見てみましょう。 パスキーを登
AgileBitsは9月20日、パスワード管理ツール「1Password」でパスワードレス認証機能「パスキー(Passkeys)」をサポートするアップデートの提供を開始した。 パスキーは、ユーザー名やパスワードを入力することなく、Webサイトやアプリにサインインできるようにするデジタル認証技術だ。スマートフォンのようなデバイスの指紋認証や顔認識、PINまたはパターンを利用し、単一の手順で多要素認証の要件も満たせる。2022年3月に提唱されて間もないが、Apple、Google、Microsoftなどプラットフォーマーが揃ってサポートに乗り出しており、パスワードレス認証の普及を加速させるドライバーとして期待が高まっている。 1Passwordは世界で1500万人以上が利用するパスワード管理の定番サービスだ。早い段階でパスキーのサポートを表明しており、パスワードレス時代に1Passwordがど
株式会社はてな(代表取締役社長:栗栖義臣/本社所在地:京都市中京区)は、はてなの提供するサービスの利用時に必要な「はてなID」でのログインにおいて、パスワードレスの生体認証機能「パスキー」と多要素認証の「TOTP(Time-Based One-Time Password)」に対応しました。「はてなブログ」や「はてなブックマーク」などの個人向けサービスや、「はてなブログMedia」などの法人向けサービスをご利用のユーザーは、これらの認証を利用することにより、これまで以上に安全で便利なアカウント管理が可能になります。 ▽ 「はてなID」でご利用いただけるサービス例 記事やコメントの投稿に「はてなID」へのログインが必要なサービスには、以下のようなものがあります。 はてなブログ https://hatena.blog はてなブックマーク https://b.hatena.ne.jp 人力検索はて
なお、上記は2023年12月時点でのFIDOアラインスの定義に基づきます。これらの用語はこれまで定義が変化してきたり、FIDOアライアンスの定義が業界のコンセンサスを得ていないケースで意味の揺れがあったりすることもありました。 同期するもののみを指すケース パスキーはFIDOアライアンスの発表では、「マルチデバイスFIDOクレデンシャル」の通称という扱いでした34。つまり、当初はクラウド同期して複数デバイスで使えるもののみがパスキーでした。しかし、パスキーの勢いを見てか分かりませんが、セキュリティキーベンダーが自分たちもパスキーだと主張し始めました5。その後FIDOアライアンスもSingle-device passkey(現: デバイスバウンドパスキー)を定義し、同期しない従来のFIDOクレデンシャルもパスキーとなりました6。 認証方式を指すケース パスキーは「FIDOクレデンシャル」です
Googleは、AndroidのアプリでパスキーをサポートするCredential Managerを11月1日に一般向け正式リリースします。 Googleは10月初めにGoogleアカウントへのログインでパスキーを利用可能にしましたが、多くのアプリではまだパスワード認証が使われており、電子メールやSNSで送られる認証コードを入力したり、認証アプリを利用したりと様々。ユーザーはどのアプリが何を利用しているのかを覚えておく必要があるほか、開発者側もさまざまなログイン方法をサポートするため負担が増加してしまいます。 Credential Managerはこうした問題を解決するためのもの。パスキーはもちろん、従来のパスワード認証もサポートしているので複数のアカウントを使い分ける場合などにも対応できます。また、どのアプリでも統一したUIでログインできるという点もメリットです。 iOSでは対応している
ritouです。 今回はFIDOアライアンスが公開したデザインガイドラインを取り上げます。 デザインガイドライン パスキーは、従来のパスワードによるユーザー認証よりも強力で安全な認証方式とされており、普及が期待されていますが、多くのユーザーが慣れ親しんできたパスワード方式と比べると、サインアップやサインインの方法が分かりにくいという課題が指摘されていました。 FIDOアライアンスによるデザインガイドラインの公開は、こうした状況を改善するものとして期待されます。 (メモ) サービス(Relying Party)がパスキー認証を利用する、Webブラウザ(Client)、パスワードマネージャーやセキュリティキー(Authenticator)が連動して動作し、その結果を処理していく部分はWebAuthnというブラウザAPIを適切に利用することで実現できます。 仕様はわかった、ではいざパスキーの登録
米Googleは、スマートフォン向けOS「Android」に「Credential Manager」の正式版を追加すると10月25日(現地時間)に発表した。Credential Managerは11月1日から利用可能で、APIレベル28以降のAndroidで動作する。 Credential Managerは、AndroidアプリケーションやWebサイトへのログインを容易にする機能で、ログインが必要な場面になると、その端末で使用したことがあるユーザー名を並べてユーザーに提示する。ユーザーはユーザー名を選択し、認証の手続きをすることでログインできる。 Credential Managerでは、パスワード認証に加えてパスキーを使った認証にも対応する。パスキーに対応するアプリケーションやWebサイトへのログインでは、ユーザー名を選択し、指紋認証や顔認証を済ませるだけでログインできる。パスワードを使
BetaNewsは2023年5月30日(現地時間)、「The downsides to using passkeys」において、「パスキー」がもたらす可能性のある問題について報じた。パスキーはセキュリティの向上に寄与すると考えられており、基本的に使用することが推奨されているが、パスキーには問題があることを把握しておくよう勧めている。 The downsides to using passkeys パスキーの問題として取り上げられている主な内容は次のとおり。 現時点ではパスキーはデバイスに保存されており、つまりデバイスに依存している。いずれは同期機能が広がる可能性があるが、現時点ではまだ同期機能は広く使われていない。このため、デバイスを紛失した場合にユーザーがアカウントへのアクセスを回復することに苦労する可能性がある。多くの場合、パスキーを使う場合にもアカウント回復オプションが用意されており
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます FIDO Allianceは12月8日、東京都内で会合を開き、2023年にコンシューマーブランドで70億以上のユーザーアカウントがパスキーを使ったパスワードレス認証に対応し、「パスキーの年」になったと報告した。企業内への導入も進んでいるとした。 FIDO Allianceによると、2023年時点のパスキー導入企業は、AdobeやAmazon、Apple、CVSHealth、Dashlane、DocuSign、Google、Hyatt、Instacart、Kayak、1Password、PayPal、Shopify、TikTokなどで、日本ではLINEヤフー、メルカリ、NTTドコモ、任天堂、などが導入する。また、FoxやHyatt、Int
Appleのエンジニアであるギャレット・デビッドソン氏が、パスワードの代わりにFace IDやTouch IDを使ってアカウント認証を行えるようにする新しいパスキー機能を開発していると、WWDC 2021の開発者セッションで明らかにしました。 Move beyond passwords - WWDC 2021 - Videos - Apple Developer https://developer.apple.com/videos/play/wwdc2021/10106/ Connecting to a Service with Passkeys | Apple Developer Documentation https://developer.apple.com/documentation/authenticationservices/public-private_key_authent
English version of this article is available here. はじめに こんにちは、マネーフォワード ID 開発チームの @nov です。 さて、みなさま、バレンタインデーいかがお過ごしでしょうか? おおよそ四半期毎のペースで公開している、パスキー利用状況レポートの時期がやってきました。 この3ヶ月、マネーフォワード ID ではパスキー周りで以下のような変化がありました。 パスキーでのログイン数が Google Sign-in を超えて、パスワードに次ぐ第二位のポジションへ ログイン直後以外のコンテキストでのパスキープロモーションを開始 パスキープロモーションページ内での文言変更 メールアドレスを持たないユーザーへのパスキーサポート それぞれの詳細については追々見ていくとして、まずは毎回恒例のこのコーナーから行きましょう。 パスキー登録状況 @ 20
10月12日(米現地時間)、米GoogleはAndroidとChromeで「パスキー」の初期サポートを始めたことを発表しました。今後はさまざまなデバイスやプラットフォームで、パスワードを使わない、より安全な認証システムが広がることになりそうです。 ↑パスキーさえあれば、どこでも入れる Googleによれば、「パスキーはパスワードやその他のフィッシング可能な認証要素に代わる、より安全性の高い認証手段」とのこと。2022年5月、同社とAppleおよびMicrosoftは、この仕組み(「FIDO認証資格情報」とも言われる)をウェブサイトやアプリで広げて行くことを約束していました。 パスキーはパスワード入力が不要になるばかりか、フィッシング攻撃(相手を騙して重要な情報を引き出すサイバー犯罪)からユーザーを守ることにも繋がります。パスキーは再利用できず、サーバー攻撃で漏えいする恐れもないとのことです
パスキーの安全面での利点と、普及までの課題を確認する ここまでパスキーの使い方や機能などを紹介してきた。ただ、実際に使ってみると「ブラウザで使えてもアプリが非対応」「パスワードレスといっても、パスワードやSMS認証なども結局残るのでは」といった疑問が浮かぶだろう。最後にこの点について見ていこう。 まず、パスキーをアプリでは使えないWebサービスがある理由として、パスキーが注目を集めてからまだ1~2年しかたっていないことが大きいだろう。時間がたてばパスキーの扱い方がある程度固まり、アプリ側の対応も改善されるのではないだろうか。 パスキーとパスワードやSMS認証など各種認証方式との関係だが、サービス内容によって使い分けや組み合わせが進むだろう。ただ、パスワードは欠点が多い。決済を扱うようなWebサービスでは数年かけてパスキーの利用に置き換えつつ、パスワードの削除を促す動きが強くなるのではないだ
Googleは2023年5月3日(米国時間)、個人のGoogleアカウントにおける認証手段として「パスキー」の提供を開始したと明らかにした。 Googleアカウントにパスキーを追加すると、ログイン時やアカウントで機密性の高い操作をする際に、指紋、顔認識、またはローカルPINの入力が求められる。コンピュータやモバイル端末のロックを解除するのと同様の形でサインインできる。パスワードや二段階認証の入力、作業は不要になる。 Googleは、以下の理由からパスワード認証がユーザーに多くの責任を負わせるものであるとした上で、パスキーであれば、以下の問題を全て解決するのに役立つとしている。 さまざまなアカウントで強力なパスワードを作成して覚えておくことが難しい 経験豊富なユーザーでさえ、フィッシング詐欺にだまされてパスワードを教える 二要素認証/多要素認証は役に立つが、負担がかかり、ストレスを増やす フ
パスキーは「マルチデバイス対応FIDO認証資格情報」の通称で、パスワードレス認証に取り組む非営利団体FIDO Alliance(FIDOアライアンス)と、Webの標準化団体W3C(World Wide Web Consortium)が共同で規格化した、パスワードが不要な認証技術を指す。 「ワード(文字列)」を使って認証するパスワードに対し、「キー(鍵)」を使って認証するためパスキーと呼ばれる。これまでもパスワード不要で本人認証できる仕組みは実現されていたが、1つの認証資格情報を複数のデバイスで使えるようにして、より使い勝手を高めているのが特徴だ。 ただ、パスワードレス認証全体を広義の意味での「パスキー」と呼んで説明しているケースもあり、注意が必要である。本記事では主に認証資格情報を複数のデバイスで共有できるものをパスキーとする。 他のデバイスを使うと資格情報の再登録が必要 FIDOアライア
ritou です。 今年2023年、いよいよパスキーが本格的に利用され始めるとお考えの方もいらっしゃるでしょう。 果たして「パスワード認証に代わりパスキーが使われ、パスワードレスな時代へと突入する」という予想は現実的なのでしょうか? この記事ではサービスにパスキーを導入するために最初に何を考える必要がありそうかというところから整理していきます。 ここではこれまでパスワード認証やID連携(ソーシャルログイン)を利用してきたサービス、それらと同様の新規サービスあたりを想定しています パスキーの採用スタイル 「ユーザー認証の方式としてパスキーを採用する」と言っても、いくつかのスタイルがあります。 メインの認証方式として採用 オプショナルな認証方式として採用 採用しないが、採用しているIdPとID連携する サービスがパスキーの恩恵を受けるために、どのスタイルを採用するかを最初の方で考える必要がある
パスキーというのを体験してみたいのですが、パスキーとしてよく実装されているお勧めのサイトはありますか? マネーフォワード IDは現存するパスキー対応サービスの中で最も無駄のないログインUXを提供しています。 パスキーの体験の前に、まずはパスワードマネージャーでパスワードを管理しつつパスワード認証をしてみてください。メールアドレス入力フォームにフォーカスを当てると保存されたパスワードを管理しているアカウントを選択できるようになっていると思います。そこから選択する感覚を覚えておいてください。 その後にパスキーを設定して、ログアウトしてみます。そして再度ログイン画面を表示すると、先ほどのアカウント選択の候補にパスキーも加わっていることが見てとれるはずです。そこから先はロック解除の仕組みを使ってログインできます。 新たなUXを覚えずとも、これまでのパスワードマネージャーの使い勝手のまま安全性と利便
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く