脳log[20251016]

2025年10月16日 (木) 「ワンタイムパスワード離れが世界で進む、証券口座乗っ取りで多要素認証に脚光 | 日経クロステック（xTECH）」■記事の内容はまともっぽいけど見出しがワンタイムパスワードもパスワードに加えた２要素目であり多要素認証の一種だということを反映しておらず嘘になっている。意味のある区別を伝えていない。最近はよく知らないパスキーというのを見かけるので自分の理解を。多要素認証であってもワンタイムパスワードはフィッシングに弱い。何要素あっても本人が正しい認証キーを偽の、フィッシングサイトに入力するからそれを中継することで認証を突破されてしまう。グーグルがスマホに送ってくる確認メッセージも、それが何に対する確認なのかをタイミングで判断するからログイン操作を中継されるとフィッシングサイトにアクセスを許してしまう。パスキーは使ったことがないけど、Windows や Android が PC やスマホのユーザー認証によって Web サイトの認証を代行し、入力先の検証も人間がアドレスバーを見て判断するのでなく機械が自動で入力先とパスワード(※異議は後半を読んでから)のマッチングを行うのかなと理解している。それだったらインターネットブラウザのパスワードマネージャーでも同じことができていると思うので自分がパスキーを使う理由はまだない。■ブラウザのパスワードマネージャーの脆弱性にこんなのがあるらしい。「約4,000万以上のパスワードマネージャー ブラウザ拡張機能で機密情報が漏洩する脆弱性|セキュリティとITのニュース-セキュリティ対策Lab」。記事によればパスキーなら問題なしとなるわけではない。最近のブラウザはユーザーの１クリックなしではパスワードの自動入力を行わないけど、不可視のパスワード要素とクリックを誘発する広告などでユーザーに意図とは異なるクリックをさせてパスワードを補完してから外部のサーバーに送信することでパスワードを窃取するという。スクリプトで DOM を操作するので XSS とかブラウザ拡張によって可能になる手段。パスワードなるものの送信先を現在窓口になっている(アドレスバーに表示されている)ドメインに限ることで困らないんじゃないの思ったけど、「シングルサインオン」機能が死ぬからできなかったりしそう。認証に専用のドメインとサーバーを用意したいですか。とりあえず今の理解ではパスキーはいらずブラウザのパスワードマネージャーで十分なのかなと思っている。パスキーならではの利点ってなんだろ。■検索しました。「iOS・Androidも対応「パスキー」とはなにか? パスワード時代の終焉 - Impress Watch」。パスワードの代わりに鍵のペアを使用することと、ユーザー端末間で鍵の同期ができることがパスキーの利点らしい。弱いパスワードを使うより安全だし、強いパスワードを用意する面倒がないし、いちブラウザのパスワードマネージャーに閉じるよりも便利。なるほどなあ。ところで自分がパスキーに感じたことのある違和感というかかすかな不安は、自分が認証情報を管理していないというところにある。機械(自分のデバイス)にお任せは大いに結構だとしても、Google や Apple や Microsoft といった大きな存在にお任せしておけば万事オーケーですよという仕組みでは素直にうなずけない。Google アカウントも Apple ID も Microsoft アカウントも持っていないので、やっぱりパスキーはまだいらないな、ならではの利点はないなという判断になる。■サービスの旧ドメインに立てられたフィッシングサイトがサービスの新ドメインに認証情報を中継することを防ぐ仕組みはなんだろう。サーバー証明書？ それの何で判断するんだろう。証明書を更新するだけで過去の認証状態がクリアされると不便だし、人間ならアドレスバーに表示される企業名で判断している……と思ったけど、「運営者 検証され信頼できる運営者情報はありません」にもかかわらず「安全な接続 このサイトとの接続は安全です。認証局: DigiCert Inc」って表示されるな。誰も接続先の確かさには興味がないまま無責任なことを言っているみたい。ユーザーが無事に新ドメインにアクセスしたときも、ユーザーが認証情報を管理していないのだからどうすることになってるんだろう。■ユーザーがパスキーを管理する例。「パスワードの代わりにパスキーでログインする - Google アカウント ヘルプ」のページに「パスキーを削除 / オプトアウトする パスキーを作成したデバイスを紛失したり、共有デバイスでパスキーを誤って作成したりした場合は、Google アカウントで使用するパスキーを無効にする必要があります」とあって、Google アカウントでの操作が案内されている。それで紛失したデバイスや共有デバイスからのアクセスをブロックできるとしたら二段階認証の段階で可能なことに思える。逆にそうでないとパスキーとは盗聴のための仕組みなのかと、自分が関知しない通信をどこへどれだけ行っているのかと疑う。パスキーはあくまでも１要素目(パスワード)の代替ということでよろしい？ そしてやっぱり思うのは、認証情報のデバイスをまたいだ一元管理とオンライン同期は別の話であって、Google に一元管理させる一手はない。管理主体は自分自身以外ありえないし、それができない仕組みなら欠陥がある。■第三のサーバー。「パスキーの仕組み・設定方法・注意点などを知る (キヤノンMJ セキュリティ on ASCI)」。自分はこのページの図の９番に対応した FIDO サーバーの存在を認知していなかった。現在のパスワード認証でも外部のサーバー(Google、Apple、Yahoo とか)に当たり前のように認証を投げていて、口座情報や住所を押さえていて自分にとってよりクリティカルな地位を占めているサービスが第三者のお墨付きを鵜呑みにするのでいいのかと思わないではないし利用しないんだけど、してみるとパスキーはこれの延長上にあると見える。クレジットカードもそうだけど、無駄にプレイヤーが増えて事態が複雑になりコントロールが容易に自分の手から離れていく状況は避けたいと思っている。便利さならシンプルさのために捨てていい。次から次へと、未だパスキーの全貌が把握できたと思えないので、自分がパスキーを使うのはまだ早い。一見安全だろうが一見便利だろうがよくわからないコントロールできない長いものに巻かれたくはない。