パスワードの生成や記憶が難しく、しばしば攻撃者にとって容易に推測できることがあります、しかし、幸いにも、パスキーが登場したことで、救世主となる可能性があります

パスキーはパスワードよりも、より迅速かつ安全です

2023年5月、GoogleはThe Keyword上で発表を行い、パスワードの終焉の幕開けとともに、Googleアカウントを保護する代替手段としてパスキーの提供を開始しました

では、パスキーとは何なのでしょうか？、Googleアカウントを安全に保つためにどのように役立つのでしょうか？

ユーザー名とパスワードの組み合わせは、コンピュータの初期の日々以来、認証の方法として主流でした、しかし、攻撃者が物理的にマシンにアクセスし、キーストロークを手動でタップする必要があった時代でも、ソーシャルエンジニアリングにより、パスワードを推測することはしばしば簡単でした

現代でも、最も一般的なパスワードは、名前、日付、動物、食べ物などの個人情報に基づいています、これは、即座に思い出せる情報を使用することで、パスワードを覚えやすくするためです

愛猫や愛犬の名前、配偶者の誕生日、お気に入りの食べ物などを忘れることはけっしてありません

残念ながら、これは犯罪者があなたのパスワードを推測できることを意味します、特にソーシャルメディアで過剰にシェアしている場合はなおさらです

パスワードマネージャーは、推測できないランダムなパスワードを作成し、管理することができるサービスを提供していますが、最大のパスワードマネージャー企業のデータ漏洩により、何百万人ものユーザーのパスワードが悪意のある第三者の手に渡ってしまいました

多要素認証（MFA）は、パスワードと、認証に使用するアプリや物理的なデバイスへのアクセスの両方を知っている必要があるため、セキュリティが強化されます

Googleのパスキーは、パスワードマネージャーやMFAを必要とせず、スマートフォンを使って即座に認証できるようにすることで、パスワードのセキュリティに関する複雑さやストレスを解消することを目的としています

パスキーはどのように機能するのか？

「パスキー」とは、正式には「マルチデバイスFIDO認証情報」と呼ばれ、暗号化キーの1つです、公開キーは、アクセスしようとしているサービスが保持しており、プライベートキーはあなたのデバイスおよびGoogleアカウントに保存されます

ブラウザまたは携帯電話を使ってGoogleアカウントにサインインする際、パスワードを入力したり、SMSやMFAアプリから認証コードを確認する必要はありません

代わりに、携帯電話のロック解除に使用する方法と同じ方法で自分自身を認証します、指紋、ピンコード、または顔認識を使って行うことができます

デスクトップブラウザで作成したパスキーは、モバイルアプリやモバイルブラウザでも使用できます

パスワードとは異なり、パスキーは総当たり攻撃によって推測されたり、漏洩されたりすることがなく、簡単に設定および使用できます、そのため、MFAの手間を嫌う人々にも採用されやすいです

Googleに先駆けて、AppleとMicrosoftは 2022年にパスキーを導入して、セキュリティを向上させています

Google Passkeysの使い方

Googleアカウントでのパスキーの登録は簡単です。まずはg.co/passkeysにアクセスして、通常通りGoogleアカウントにサインインしします

青い[+ パスキーを作成する]ボタンをクリックすると、「パスキーを使用してサインインできるようになりました」という通知が表示されます

これをテストするには、Googleアカウントからログアウトして、再度ログインしします、ユーザー名を入力すると、パスワードを入力するように促されなくなります

その代わりに、「パスキーを使って本人確認を行います」と表示されます

「続行」をタップすると通常のロック解除方法で認証し、即座にサインインできます

ただ、パスキーを使用することには欠点もあります

パスキーを使うには、Google、Microsoft、またはAppleに対応したデバイスが必要です、これらのいずれかを持っている人がほとんどですが、注意が必要です

また、パスキーによってインターネット上の犯罪者から保護されることは確かですが、攻撃者があなたの電話を手に入れた場合、通常のロック解除方法によってしか保護されません

Face IDが失敗することもありますし、指紋を取得されることもあります、また、あなたの電話のロック解除用の4桁または6桁のPINは、パスワードよりも簡単に推測される可能性があります。

たとえば、子供の誕生日を4桁のPINとして使用し、あなたのデバイスを紛失または盗難された場合、あなたのGoogleアカウント、すべてのメール、パスワード、設定されたパスキーなど、すべての情報が完全に攻撃者にさらされる可能性があります

さらに、パスキーを使ってPCにサインインする場合は、Bluetoothを有効にしておく必要があります

Googleパスワードの使用は、未だ可能

Googleは将来的に、パスワードや他の認証方法を完全に廃止する予定ですが、まだそのための準備が整っていないということです

もしパスキーに登録しているけれども、パスワードを使いたい場合は、ユーザー名を入力した後に「別の方法を試す」をタップし、「パスワードを入力」を選択すれば使えます

ただし、現時点では、パスワード認証を完全に無効にするオプションを見つけることができないため、Googleでパスキーを使うことは、現状ではセキュリティよりも便利さが優先されることになります

Googleはパスキーを推奨することで、アカウントが不正アクセスされるリスクを減らすことを目指しています

しかし、パスワードによるログインが選択肢として残されているため、安全に対する錯覚に陥る可能性があることにも注意が必要です

しかし、パスワードによるログインを許可しているにもかかわらず、そのオプションを削除する方法がないため、誤った安心感に誘われる危険性があります

パスキーについて

この夏のWWDCでパスキーを発表したのは、「パスワード不要のサインイン体験をより便利で安全なものにすることを目的とした」パスワードに代わるものです

Appleによると、パスキーは標準ベースの技術で、パスワードとは異なり、フィッシングに強く、常に強力で、秘密を共有しないように設計されているとのことです、アプリやWebサイトのアカウント登録を簡素化し、使いやすく、すべてのAppleデバイス、そして物理的に近い距離にあるApple以外のデバイスでも使えるように設計されているそうです

ユーザーはFace IDやTouch IDを使って簡単にアカウント認証ができるようになりますが、フィッシングやボットなどのサイバーセキュリティリスクに対処する上で、この安全機能はどれほど完璧なのでしょうか？

85%のユーザーが複数のアカウントで同じパスワードを使用しており、米国で最も一般的なパスワードは依然として「123456」であることから、パスワード保護にアップデートが必要であることは明らかです、また、パスキーは次世代のアカウントセキュリティになる可能性があります

Michael Covington氏の見解

Appleのエンタープライズマネジメントを専門とするJamfのポートフォリオ戦略担当バイスプレジデントのMichael Covington氏は、Apple World TodayでAppleのiOS 16リリースに関する感想を述べました

iOS 16の最初のロールアウトに伴うセキュリティの懸念

iOS 16に搭載されるセキュリティ機能で注目すべきは、「Rapid Security Response」の導入です

この新しいモデルでは、重要なセキュリティ修正はiOSの幅広いアップデートとは別に提供されるため、より迅速なパッチ適用と、セキュリティアップデートの詳細が長いリリースノートに埋もれることがないため、より透明性が高くなります

もちろん、モバイルワーカーやリモートワーカーが多い企業にとって、主要なOSアップデートはすべて難題となりえます、ITチームは、デバイス上で動作する重要なアプリケーションを破壊することなく、デバイスを迅速にアップデートする方法を見つけなければなりませんが、これはカスタムアプリケーションを実行している企業にとって特に当てはまります

パスワードレスプラットフォームがフィッシングと紙一重である理由

フィッシングはサインインの詳細だけでなく、個人情報の盗難やマルウェアのインストールなどにつながるソーシャル・エンジニアリングの手法も数多く存在し、これらの手法は盗まれたパスワードではなく、ユーザーのエラーに依存しています

そのため、ビジネス環境では、フィッシングを見分けるためのトレーニングをユーザーに行うことで、セキュリティ意識の文化を醸成することが必要であり、今後もそうあり続けるでしょう、すべてのサイトやアプリが初日から対応しているわけではありません

「パスキー」は、特に現在パスワードマネージャーを使用していない消費者にとっては、素晴らしい技術です、しかし、企業は機密データを保護するために単一の技術に依存すべきではありません

パスキー以外にも、重要なデバイスやパッチ管理ツール、エンドポイントセキュリティ、Web フィルタリング技術などを重ね合わせて、さまざまな脅威からユーザーを保護する必要があります

パスワード不要の未来に求められるもの

パスワードレス・テクノロジーは、仮想世界と物理世界のインターフェースがより自然で、より安全なものになります

バイオメトリクスは、パスワード、カードキー、その他の保護機能のロックを解除する、ユーザー向けのセキュリティレイヤーとなるでしょう、携帯電話やアプリケーション、デジタルウォレットのロックを解除するのと同じワークフローを使用して、オフィススペースだけでなく、潜在的には自宅にもデバイスで物理的にアクセスできるようになるとは、驚くべきコンセプトです

これこそ、パスワードレスが可能にするものです、これはJamfがすでに使っている技術で、社員はApple Walletに保存されたJamfの認証情報を使ってJamfのオフィスにアクセスでき、物理的なバッジを使う必要がなくなります

(Via Apple World Today.)

PasskeyはiOS 16、iPadオS16やmacOS Venturaの一部ですが、Apple以外のデバイスや 「Android」 「Windows」 などのプラットフォームでも動作します

AppleがPasskeyで目指しているのは、ユーザーがパスワードを入力したり、覚えたり、使ったりする必要をなくすことです

Passkeyには2つのシナリオがあります、Appleデバイスを使用している場合と、WindowsまたはAndroidデバイスを使用している場合です

Appleデバイスの場合

PasskeyをサポートしているiOS 16のプロトタイプまたはMacのmacOS Venturaを実行しているiPhoneまたはのWebサイトにアクセスすると、Webサイトはパスワードの入力を要求することはありません

代わりに、Touch IDまたはFace IDで認証するよう求められます

WindowsやAndroid端末の場合

Apple以外のデバイスでは、Passkeyに対応したWebサイトにアクセスすると、iPhoneでQRコードをスキャンして、実際のパスワードとしてTouch IDまたはFace IDを使用するよう促されます

Passkey、この秋にiOS 16とmacOS Venturaが全ユーザーにリリースされると、より広くアプリやWebサイトに対応する予定ですが、すでにPasskeyに対応しているWebサイトもいくつかあります

(Via MacRumors.)