FIDO2によるパスワードレス認証が導く新しい認証の世界

FIDO2によるパスワードレス認証が
導く新しい認証の世界
株式会社インターナショナルシステムリサーチ
プロダクトマネジメント部マネージャー　柴田一人

© 1993-2019 International Systems Research Co. All Rights Reserved.
● 社名　：株式会社インターナショナルシステムリサーチ
● 設立　：1993年9月24日
● 資本金：1億4,150万円
● 所在地：東京都中野区本町6-16-12　新中野FKビル
会社概要
代表取締役メンデス・ラウル

ISR が実現したい世界

パスワードのいらない世界

アジェンダ
● パスワードの問題点
○ パスワード認証とは？
○ パスワード認証の問題
○ サイバー攻撃の種類と特徴
○ 日本におけるサイバー攻撃の現状
● パスワードのいらない世界へ
○ FIDO2とは？
● CloudGate UNO の紹介
● まとめ

パスワードの問題点

パスワード認証とは？

認証について
認証とは
個人を「識別」し、本人であるかを「検証」し、ユーザーを特定する作業
● 個人識別情報
唯一性(他者と重複しない)と不変性(変わらない)を持つ情報
例：IDなど
● 認証情報
本人固有の情報で認証を行いたい本人であるかを検証する情報
例：パスワードなど

パスワード認証
多くのWebサイトで利用されている画面
ユーザー名
パスワード

パスワード認証の問題点

ここ数年で「SaaS」利用が急激に加速
出典：ボクシル SaaS業界レポート 2018 https://boxil.jp/mag/a5170/
国内SaaS市場規模推移

１社あたりの「SaaS」利用数も増加
1社あたりのSaaS利用数（2014年全世界）
出典：ボクシル SaaS業界レポート 2018 https://boxil.jp/mag/a5170/

記憶力の限界
● 認証者（サービス）となるものを増えたことによる、覚える必要のあるパスワードの
母数の増加
● 認証者（サービス）ごとに異なるパスワードポリシー
もっともシンプルで楽な認証要素が
複雑で取扱いが難しい認証要素に

パスワード管理の問題は「人の意思や意識」に依存する
パスワード管理の問題
8文字以上
記号と数字を含める
3ヶ月に一回変更
考えるのが大変
楽をしたい
忘れた

楽をしたい人の意思
12345678
ひらけごま
12345678
p@ssw0rd
IamClage
ひらけごまあぶら
ひらけごまだんご
ひらけごましお
パスワードの使い回し
類推されやすい簡単なパスワード
ひと手間加えただけのパスワード

10 iloveyou
9 qwerty
8 sunshine
7 1234567
6 111111
5 12345
4 12345678
3 123456789
2 password
1 123456
The Top 10 Worst
Passwords of 2018
https://www.teamsid.com/100-worst-passwords/

利用者のリテラシーや他社サーバーの管
理に影響を受け、自社サーバーのセキュリ
ティ管理に問題がなくても不正アクセスを
受ける可能がある 
パスワードが漏洩してしまうと　- リスト攻撃の場合 - 
ID  パスワード 
echizen.clage   clage1234! 
-  - 
サービスA 
サービスB 
サービスC 
パスワード 
パスワード 
パスワード 
パスワードの使い回し  
パスワード窃盗 
不正アクセス 
なりすまし 被害者 
-  - 
-  - 
攻撃者 
パスワード

パスワード認証のリスク
ユーザーは覚えやすいパスワードを作成してしまう.....
81%
ハッキングによる侵害はパスワードが原因
一人当たり平均23個の
オンラインアカウントを保持
複雑なパスワード設定の
ルールがある
出典：2017 Verizon Data Breach Investigations Report

パスワードポリシーの課題
事故 
管理が複雑化
対策楽をする
-定期変更 
-世代管理 
-X文字以上 
-文字種別の強制 
-使い回し 
-メモに書く 
-類推されやすい 
複雑なパスワードポリシーが 
セキュリティリスクに

サイバー攻撃の種類と特徴

サイバー攻撃にはたくさんの方法がありますが、大きく分けると下記の４つの分類できると考えます。
サイバー攻撃の種類
クライアント端末やサーバに
負荷をかけたり暗号化を行い、
利用者が本来の目的を達成させなくさせ
る
本人しか知りえない情報を
推測する事により不正アクセスを試みる
ユーザーの入力した情報を盗み取る脆弱性をつき情報を盗み取る

● ランサムウェア
● DoS攻撃 / DDoS攻撃
端末自体を使わせなくさせる攻撃。
認証強化とは別の対策を講じる必要があります。
クライアント端末やサーバに負荷をかけたり暗号化を行い、
利用者が本来の目的を達成させなくさせる

● 総当たり攻撃
● 辞書攻撃
● パスワードリスト攻撃
パスワードを予測して不正アクセスをするため、
パスワード以外の要素をプラスして認証する事で防ぐ事が可能です。
本人しか知りえない情報を推測する事により
不正アクセスを試みる
Password

● フィッシング
● 中間者攻撃
正しいWebサイトにアクセスしていると勘違いをさせ、
本人しか知らない情報等を入力させ情報を取得します。
ワンタイムパスワードなどに２要素認証を利用した場合でも、
一定期間有効な情報であれば、その情報を悪用される危険があります。
ユーザーの入力した情報を盗み取る
Password

● ゼロデイ攻撃
● クロスサイト攻撃
● インジェクション攻撃
脆弱性をつき端末を操作することで、ユーザーが意図していない情報を取得する
脆弱性をつき、情報を盗み取る
Password

日本における
サイバー攻撃の現状

● 日本の言語などに完全に対応
→ 日本語のフォルダ・ファイル名を理解してファイルを詐取した形跡がある
● 日本固有の資産管理製品の脆弱性を悪用して侵入を行う
日本を標的としたサイバー攻撃グループ「Tick」
出典元：SecureWorks Japan株式会社 Webページ https://www.secureworks.jp/resources/rp-bronze-butler
主に日本の企業を対象としてスパイ活動を行っている

“ 企業の情報システムを狙うサイバー攻撃の被害企業が増えて
いることが、日本経済新聞社が 2017年10～11月に実施した「企
業法務・弁護士調査」で分かった。過去５年でサイバー攻撃を受
けたことがあるかを企業の法務担当者に尋ねたところ、「ある」と
した企業が全体の66％にのぼり、１年前の調査の 58％から８ポ
イント高まった。
・・・・
集計した195社のうち過去５年でサイバー攻撃を受けたと答えた
企業は129社。攻撃対象は業種や規模を問わず拡大してい
る。”
（2018/1/7 日本経済新聞より）
日本企業へのサイバー攻撃が増加傾向

最近のパスワードが関連する不正アクセスの例
● 2019年5月　某ECサイト不正アクセス
リスト型攻撃と思われる不正アクセス。ポイントの不正利用も一部で発生。
ただし、狙いはポイント利用ではなく、ログインできてしまった事実という見方も。
● 2019年5月　某ECサイト不正アクセス
リスト型攻撃により、ユーザー本人以外の第三者による不正なログインが発生。
461,091件の侵入が確認される。
● 2019年2月･3月　某ECサイト不正アクセス
2016年〜2018年にかけて計5回、この2件を含めて計7回の不正ログイン。
対策の強化はされており、不正ログイン後の対応の速さは評価する記事も見られる。
● 2019年7月　決済システム不正アクセス
パスワードリカバリーの仕様に穴があり、第三者が登録者のパスワードを変更し放題な状態であった。
サービスを９月末で終了する事を発表。

漏えい人数 561万3,797人
インシデント件数 443件
想定損害賠償総額 2,684億5,743万円
一件あたりの漏えい人数 1万3,334人
一件あたり平均想定損害賠償額 6億3,767万円
一人あたり平均想定損害賠償額 2万9,768円
2018年個人情報漏えいインシデント概要データ
出典：NPO日本ネットワークセキュリティ協会 Webページ http://www.jnsa.org/result/incident/
一件あたり平均想定損害賠償額 6億3,767万円

どうしたらよいか？

認証要素の種類
要素内容固有情報セキュリティレベル
特性情報
(SYA: Something You Are)
生物固有の情報または特性
指紋
虹彩
静脈
声紋
顔
身体的な特徴を元にするの
で、盗まれる危険性が低い
知識情報
(SYK: Something You Know)
本人しか知り得ない情報
パスワード
秘密の質問
パターン情報
その知識を知っていれば
誰でもなりすましが可能
所持情報
(SYH: Something You Have)
本人しか持っていないもの
ICカード
ハードウェアトークン
スマートフォン
電子証明書
所有物を盗まれた場合になり
すましが可能

パスワードをなくそう

ここまでのまとめ
● クラウド時代になり、管理するオンラインアカウントが急増している。
● 昔は扱いやすい認証方式であった「パスワード」が、現在では、もっとも扱いが難しい認
証方式に変わってしまった。
● パスワードを狙ったサイバー攻撃により、不正アクセスの事件が後をたたない。
パスワードを使わない新しい認証が必要

パスワードのいらない世界へ
Building a world without passwords

社内システムのアクセス認証手段
出典：JIPDEC IT-Report 2019 Spring　https://www.jipdec.or.jp/archives/publications/J0005083

FIDO Alliance
● FIDO(ファイド)アライアンスはFast IDentity Online(高速なオンラインID認証）の
略
● セキュリティと利便性の両立を目指すため2012年に設立されたグローバルな非営
利団体
● オープンで拡張性と相互運用性のあるシンプルで堅牢な「FIDO認証」を標準化を
目指す

FIDO認証の特徴
● 使いやすさ
○ 指紋をかざす、カメラを見る、セキュリティーキーに触れるといったシンプルな動作で完了
● 堅牢性
○ サーバーと秘密を共有しない認証
○ 実績のある公開鍵暗号技術を採用
○ 認証器で本人確認を行い、その結果を FIDO認証サーバーが検証を行うため、クレデンシャル情報が
流失しにくい
● 標準化
○ 標準仕様なので認証器と認証サーバーが準拠していれば、認証器を選ばない運用が可能
○ 相互運用性
○ オープンな仕様なため容易に導入が可能

参加企業
出典元：https://www.slideshare.net/FIDOAlliance/fido2-154731613

FIDO認証は「公開鍵暗号方式」での認証を採用
● FIDO認証は「公開鍵暗号方式」での認証を採用
● 秘密鍵と公開鍵は必ず対になる
● やりとりするデータが改ざんされていないことを証明（否認防止）
● 公開鍵で署名したものは対となる秘密鍵でないと検証できない（その逆も可）
● FIDO認証においては
○ 「秘密鍵で署名し、対となる公開鍵で検証する」
秘密鍵公開鍵
対
検証可能
検証不可

FIDOの３つの仕様
UAF U2F FIDO2

FIDO 認証の種類
さまざまなユースケースに対応するための３種類の認証仕様
● FIDO UAF（パスワードレス認証）
○ Universal Authentication Framework の略
○ 主にスマートフォン端末での利用を想定した生体認証などを利用した認証プロトコル
● FIDO U2F（２段階認証）
○ Universal Second Factor
○ セキュリティーキーに触れるなどシンプルな動作を行うことを利用した認証プロトコル
● FIDO2（Web認証）
○ FIDO AllianceとW3Cが共同で策定した認証仕様
WebAuthn（@W3C）
W3CのWeb認証API仕様で
ブラウザで認証する際の共通仕様
CTAP2（@FIDO）
ブラウザやOSから直接、
外部認証器（USB,NFC/BLE対応デバイス）と会
話するプロトコル

UAF 対応の事例　- docomo -
出典:https://www.nttdocomo.co.jp/info/news_release/2015/05/26_00.html#p02

U2F 対応の事例　- Google -

UAF / U2F のイメージ
PASSWORD

FIDO2 とは？

PASSWORD
FIDO2 のイメージ

ブラウザ
認証サーバ認証器
FIDO2：U2F / UAF を発展させた新仕様
③本人確認完了
①本人確認
この部分で公開鍵暗号方式が利用されている
秘密鍵は認証器で管理
サーバーには公開鍵が
保存される
②本人確認は認証器で完結 ④認証を検証
WebAuthnCTAP2
W3Cと共同で策定

認証器の登録
認証器
①登録開始(FIDO以外による認証)
②チャレンジ
③本人確認要求
④本人確認操作
キーペアを作成
公開鍵
公開鍵秘密鍵
FIDO2サーバー
公開鍵秘密鍵
厳重に保管
ユーザ
FIDO2仕様
WebAuthn + CTAP2
FIDO2仕様
WebAuthn + CTAP2

認証の流れ
認証器
①認証開始（ID）
秘密鍵で署名
秘密鍵
公開鍵
⑥公開鍵で
署名付きチャレンジを
検証
⑤署名付きチャレンジ
認証完了
FIDO2サーバー
FIDO2仕様
WebAuthn + CTAP2
ユーザ
②チャレンジ
③本人確認要求
④本人確認操作

今年の３月、WebAuthn がW3C勧告に
出典：https://www.w3.org/2019/03/pressrelease-webauthn-rec.html

ブラウザ別 FIDO2への対応状況（2019年3月データ）
出典: https://github.com/apowers313/fido2-webauthn-status/blob/master/FIDO2%20WebAuthn%20Status.png

今年の２月、AndroidがFIDO2認定を取得
https://www.rcdevs.com/android-officially-adopts-fido2-authentication-standard-as-alternative-to-passwords/

今年の５月、Windows HelloがFIDO2認定を取得。
https://fidoalliance.org/microsoft-achieves-fido2-certification-for-windows-hello/

FIDO2対応「Authenticator」
ATKey.Card BioPass FIDO2®
Goldengate 450 YubiKey
AuthenTrend Technology社の
カード型セキュリティキー
FEITIAN Technologies社の
USB型セキュリティキー
eWBM社の
Yubico社の
● 指紋情報を用いて認証
● BLE/NFC/USB/搭載で
PC/スマホ/NFCドア等の
デバイスに対応
● カードタイプで社員証と一
緒にしたりテープを貼り
管理も可
● 指紋情報を用いて認証
● 数々の金融機関との取
引実績を誇るテクノロ
ジーを搭載
● デザインとパフォーマン
スを兼ね備えた認証デバ
イス
● 指紋情報を利用して認証
● 世界最初のFIDO2 L2(保
安レベル 2)認証セキュリ
ティキー
● 人間が発する微弱な静
電気に反応して認証
● NFC/USB搭載
● 継続利用が可能な耐久
性と防水性能

FIDO2対応のWebサーバ　- Yahoo! Japan -
出典: https://about.yahoo.co.jp/pr/release/2018/10/231023/a/

CloudGate UNOによるパスワードレス認証　- ISR -
ISRではすべての従業員がFIDO2対応認証デバイスを利用した
パスワードレス認証でサインオンしています
パスワードレス認証の導入メリット
情報システム部門
● アカウントリセット業務の削減
● セキュリティ強化
ユーザー
● 利便性の向上

すべてを解決する
アイデンティティ管理サービス
CloudGate UNO

CloudGate UNOが提供する認証基盤
59
全てシステムに
CloudGate UNO経由でログイン
対象システムや
ユーザーに合わせて
利用をコントロール

Single Sign On　- シングルサインオン -
etc...

Access Control　- アクセス制限 -
IPアドレス制限  端末制限 
セキュリティプロファイル機能 
(ユーザー単位の制御)  アクセス履歴 
指定したIPアドレス以外からの 
アクセスを遮断します。 
クライアント証明書による 
端末認証で、アクセス許可する端末を
制限できます。 
セキュリティ設定応じて 
プロファイルを作成し、 
ユーザーごとに適用可能です。 
各ユーザーの履歴やアクセス制限さ
れた場合の理由等が確認できる機能
です。 
時間別・国別アクセス制限   スマートフォン端末制限アプリ  
端末にインストールした専用アプリか
らのみ CloudGate へのアクセスを許
可します。 
時間帯(曜日、時間)や国を指定しての
セキュリティ制限が可能です。

Authentication　- ユーザー認証 -
パスワードポリシー 
ID/パスワードだけではない強固な本人認証を実現 
パスワードに使用期限を設けたり、 
必須文字種別「数字」「記号」 
などが設定可能。 
ワンタイムパスワード認証  
OTP生成アプリによる 
ワンタイムパスワードでの 
2段階認証機能をご提供。 
FIDO2 認証 
FIDO2規格に準拠したデバイス 
を利用した認証機能をご提供。 
スマートフォンを利用した指紋
認証 
パスワードを利用しないログイン 
認証が可能となります。 
(パスワードとの併用も可）

End to End で公開鍵暗号方式による認証が可能に
ユーザ
クラウドサービスFIDO2
G Suite
Kintone
Office 365
SAML

全てのSaaSをパスワードレスの世界へ

Windows Hello による
パスワードレス認証
デモ

まとめ

本日のまとめ
● これからはパスワードに変わる「厳格な本人確認」が必須な時代
● FIDO認証は、「使いやすさ」と「堅牢性」を兼ね備えた相互運用が可能な認証仕
様。
● サービスや認証器のFIDO対応がどんどん拡大している
● 「CloudGate UNO」でFIDO2認証を使用することで様々なクラウドにパスワードレ
スで認証が可能となり、企業の利便性とセキュリティの向上が可能。
パスワードのいらない世界へ

ご清聴
ありがとうございました

FIDO2によるパスワードレス認証が導く新しい認証の世界

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à FIDO2によるパスワードレス認証が導く新しい認証の世界

Similaire à FIDO2によるパスワードレス認証が導く新しい認証の世界 (20)

FIDO2によるパスワードレス認証が導く新しい認証の世界