Tag: WebAuthn
Feb 26, 2020
当社が現在のYubiKeyを設計するに至った理由
初代YubiKeyは2008年に発売されました。「ubiquity（遍在）」という言葉からインスピレーションを得て、全ての人がシンプルで安全なログインを利用できるようにするという使命を背負った製品でした。 当時の当社は10人にも満たない小企業でしたが、戦略は実にシンプルなものでした。 ほんの一握りでも大手テクノロジー企業と緊密に協力してYubiKeyの技術を発展させることに注力すれば、全ての人にとってインターネットをもっと安全なものにできる、というものです。 それから12年後の今、当社はその目標に近づきつつあります。 Yubicoが初めてのFIDO対応セキュリティキーをリリースした2014年以降、今では全で使いやすての主要プラットフォームおよびブラウザーがYubiKeyとFIDO、そして当社が主唱してきたWebAuthn規格に対応しています。 FIDOと互換性のある認証ツールも続々と市場に参入してきており、コンピューターやスマートフォンに内蔵されるものも増えてきています。まさに当社が思い描いていた姿です。 これらの規格を採用する組織が増えることで、エコシステムが継続的に成長し、ひいてはYubiKeyのユーザー様にとってもメリットとなります。 全ての認証ニーズに応える魔法の解決策などはおそらく存在しませんが、YubiKeyは可能な限り多くのケースに対応できるよう設計されています。 最高レベルのセキュリティと使い勝手、耐久性を実現するための継続的なイノベーション、そしてお客様やパートナー様、ユーザー様との協力が直接実を結び、現在のYubiKey製品ラインナップが出来上がりました。 設計・生産においてYubicoがこれまで行ってきた選択とその理由を、以下にまとめてみます。 外付け認証ツールにより攻撃対象領域を最小限に抑える 現在ではFIDO認証方式がスマートフォンやコンピューターに直接内蔵されるようになっています。消費者への普及や小規模かつ多種多様なユースケースという観点では良いことです。 ただし、こういった多目的コンポーネントでは、攻撃のベクトルが増加するほか、インテルのSpectre問題のような潜在的なセキュリティの問題も伴います。 物理的セキュリティとデジタルセキュリティどちらの専門家も、防御を強化するためには攻撃対象領域を最小限に抑えることが重要であると同意しています。 オンラインアカウントのセキュリティ改善のため、当社は、認証と暗号化のみにフォーカスし、インターネットに依存しない外付け認証ツールとしてYubiKeyを製作しました。 内蔵型の認証ツールと比較して、YubiKeyはバッテリー不要で機能し、全てのコンピューターとスマートフォンで動作し、手頃な価格のデバイス横断型RoT（信頼の基点）となるように作られています。 デバイスの小型化で環境に優しく YubiKeyは、堅牢な一体型のデザインで、バッテリーも可動パーツも搭載しない長寿命のデバイスとして設計されています。 最人気のYubiKeyキーチェーン用デザインは、クレジットカードほどの軽さ。出荷時の体積とカーボンフットプリントを最小限に抑えるため、全ての製品とパッケージを可能な限り軽量・薄型に設計しました。 安全で使いやすいフォームファクター、USBとNFC スマートフォンやコンピューター、セキュリティキーといった一部のFIDO対応認証ツールでは、認証フローの最中にBluetooth Low Energy（BLE）通信を使用します。 しかし、Bluetoothはもともと音声のために作られたものであり、セキュリティは想定していません。 最初のBLEの仕様が策定されてからセキュリティ面の改善は行われてきているものの、数メートルの範囲内で危険にさらされるリスクはやはり存在します。 また、BLEによってユーザー側の操作が煩雑になり、ヘルプデスクへのサポート依頼件数と関連コストが増加することにもなります。 FIDOベースでUSBおよびNFCのYubiKeyを大規模に導入した結果、アカウントの乗っ取りがゼロになり、サポート依頼件数が92%減少して、コストが数千万ドル削減されたという研究あります。 セキュアエレメントが実現する強力な物理保護機能 一般的に、より多くの人がコードを精査できるようにすることがセキュリティ面で望ましいものの、残念ながら、Heartbleedなどのオープンソースのセキュリティについて大きな問題があるのも事実です。 初期のYubiKeyは、市販のUSBコンポーネントをベースに構築されていました。 YubiKeyの物理的なセキュリティを改善するため、当社は後に全てのハードウェアをセキュアエレメントで構築することにしました。ICチップベースのクレジットカードやパスポートにも用いられているものです。 セキュアエレメントを使用することでコンポーネントの出所の真正性を示すことができ、物理的なデバイスを使用する詐欺犯罪でコードを抜き取られたり改変されたりすることを防止できます。 最先端のセキュアエレメントでは、チップが独自開発になり、ドキュメンテーションやツールの点で制限されているため、オープンソースでの実装が不可能になっています。 Yubico製品の品質と完全性を守るため、当社のセキュリティおよびエンジニアリングチームは、社内とサードパーティによるセキュリティレビューを継続的に実施しています。 生体認証とPINが共存するパスワードレスの世界 FIDOとWebAuthnにより、そのうち複雑なパスワードを忘れることができるようになるでしょう。そして、強力な公開鍵暗号化によって、パスワードの代わりに物理的なFIDO認証ツールを用いる日が来るはずです。 これらのデバイスは、初めての強力なファクター（持っている）となり、PIN（知っている）や生体認証（身元）と組み合わせることが可能になるでしょう。 生体認証は便利なものではありますが、指紋のような静的イメージは必ずしもPINより安全というわけではありません。 そこでYubicoでは、今年中に指紋とPINの両方に対応するYubiKey Bioの発売を予定しています。 この製品はスリムで堅牢な設計となり、現在の市場にある製品よりもセキュリティ機能が向上します。 大切なサプライチェーン Yubicoの製品は米国とスウェーデンで製造されています。 この2ヶ国を選択したのは、製品の完全性を確保することを意識したためです。 FIDOが認証するのはあくまでも相互運用性であり、セキュリティに関する方針の設定や製品セキュリティの審査については今のところ行っていません。 そのため、信頼するベンダーの選択は、ユーザーとサービスプロバイダーに委ねられています。 進化し続ける認証機能 YubiKeyは未来のことを考えて設計されています。 現在から未来へのシームレスな移行を可能にするため、当社ではひとつのデバイスに従来と最新の両方のセキュリティプロトコルを盛り込みました。 一つの認証ツールで幅広いシステムやサービス、アプリケーションに対応できるようにするため、YubiKeyは固定パスワードやワンタイムパスワード（OTP）、スマートカード（PIV）、OpenPGP、FIDO U2FおよびFIDO2に対応しています。 Yubicoの新しいYubiEnterpriseサブスクリプションモデルは、新モデルや新機能の導入時に、事業者様がお持ちのYubiKeyを一定割合でアップグレードできるサービスです。 全ての人に安全なインターネットを実現するという使命を求めて FIDO対応認証ツールの市場成長に伴い、当社ではどの製品を選べばよいかという質問をお客様から受けられるようになっています。 当社の通常な対応としては、FIDO2とWebAuthnに対応し、入手可能な認証ツールをいろいろ試して、ユーザーからのフィードバックと導入に関する統計を活用して判断していただくようにしています。 …
Jun 10, 2019
Web認証をWebAuthnにアップグレードする5つの理由
この5年間で、認証技術は大きく進歩してきました。 パスワード認証の頃から、各種の2要素認証手法の導入によって成熟してきました。そして最近になって登場したのが、Web認証の新たなグローバルスタンダードであるWebAuthnによるパスワードレスログインという手法です。 WebAuthn はユーザー認証の新たな基準となる手法であり、ユーザーアカウントの保護において業界最高レベルの仕様と考えられています。 あらゆる主要ブラウザーやプラットフォームでサポートされているWebAuthnを利用するサービスは、パスワードレスログインを含む強力な認証手段を幅広く、かつ簡単にユーザーへ提供できるようになります。 この認証手段としては、セキュリティキーの利用や、生体認証リーダーなどの内蔵型認証ツールなどがあります。 WebAuthnによるログインを体験されたい方は、当社のデモサイトをご覧ください。 WebAuthnを 活用したさまざまな認証手段の登録をお試しいただけます。 パスワードレスログインのさらなるメリットをお知りになりたい方のため、WebAuthn認証にアップグレードする理由を、以下に5つ挙げて説明します。 幅広いツールで利用可能 WebAuthnが他と異なる主な要因として、主要なブラウザーやオペレーティングシステム、デバイスでこのテクノロジーが広く受け入れられ、採用されていることがあげられます。 現在までに、Microsoft Edge、Mozilla Firefox、Google Chrome、Google Androidが既にWebAuthnのサポートを組み込んでおり、先日アップルも Safari Technology Preview Release 83でWebAuthnをデフォルトでサポートすることを発表しました。. また、コンピューターやスマートフォンに内蔵された認証ツールが広く入手可能になってきていることで、ユーザーにも認証方法の新たな選択肢が生まれています。 サービスプロバイダーは、利用しているデバイスやオペレーティングシステムの種類に関係なく、あらゆる種類のユーザーに高速かつ便利で安全な認証の選択肢を提供できます。 顧客とビジネスのためのセキュリティの向上 WebAuthnは、脆弱なパスワードベースのログインや知識ベースの回答による復旧を、発行元を確認する強力な公開鍵暗号で置き換えることによって、フィッシングを防止します。 内蔵型と外付け型のハードウェア認証ツールを使用するための基準として強力な認証を用いることで、アカウントの乗っ取りからユーザーを保護します。 Googleによる最近の研究では、35万件以上の大規模攻撃および標的型攻撃を調査した結果、アカウントの乗っ取りを止める上で最も効果的な手法がセキュリティキーであることが示されました。 セキュリティキーは、パスワードベースのログインを排除することで資格情報の盗難やフィッシングから顧客を守るだけでなく、莫大な数のユーザー資格情報の保管と保護に伴う脆弱性から組織を解放します。 顧客体験とブランドロイヤリティの向上 米国の消費者が自身の利用するウェブサイトやサービスで管理しようとしている パスワードの数は、平均で14個を 上回ります。 ビジネスユーザーなら、その数はさらに増え、 最高で191個もの数を記憶して使用する責任を負っていると推算されています。 日々のデジタル活動に必要なパスワードの数がこれだけになると、必然的にパスワードの紛失やリセット、最悪の場合には脆弱なパスワードやパスワードの使い回しによるアカウントの乗っ取りにつながります。 結果として、パスワードのせいで顧客体験が悪化し、ブランドロイヤリティが低下し、収入が失われることになります。 WebAuthnによるパスワードレスログインなら、ユーザー名とパスワードを入力するよりも高速かつ安全なログインが可能になり、オンラインでのユーザーエクスペリエンスも、ATMカードを使用するような使い慣れた便利な操作で瞬間的に行えるようになります。 またWebAuthnなら、携帯電話でアクセスできないユーザーに対し、テキストメッセージ（SMS）を介してモバイル機器へワンタイムコードを送信するといった認証方法をとれない場合でも認証を行うことができます。 運用コストの削減 ユーザーがパスワードを忘れた場合、しばしばヘルプデスクやサポートセンターに電話をかけるため、サポートスタッフの貴重な時間を消費してしまいます。 事実、 ガートナー による推計では、ヘルプデスクへの電話のうちパスワードのリセットに関する問い合わせが占める割合は20～50%であり、それにかかる費用は大企業の場合で年間500万～2000万ドルとなっています。 シンプルかつフレキシブルな統合オプション WebAuthnは、強力な1要素、2要素または多要素認証における選択肢となります。 認証フローの選択肢が広がることで、WebAuthnへのサポートの追加を考えている開発者は、自社のユースケースと顧客に最適な認証モデルを選択できるようになります。 これは特に、さらに高レベルな認証セキュリティを必要とする組織や、個人情報の変更や大きな金額の送金といった一部のアプリ内操作に対して階層型の認証アプローチ（PINや生体認証、ジェスチャー認証で保護レベルを上げるなど）を好む組織で大変有用です。 また、WebAuthnには、2要素のユースケースに使用するFIDO U2F認証ツールとの下位互換性もあります。 すなわち、YubiKey 4やYubiKey NEOを含めた過去に認証されているすべてのFIDO U2Fセキュリティキーも、WebAuthnに対応する認証フローを用いた2要素認証ログインの1形態として引き続き機能します。 WebAuthnのオープンスタンダードの詳細ならびにWebAuthnが組織にもたらすメリットについては、当社のパスワードレス認証に関するホワイトペーパー「 Going Passwordless 」をお読みください。 当社では、迅速なWebAuthn導入を支援するため、 開発者専用サイト で完全な開発リソースを提供しております。