FIDOセミナー参加しパスキーについて勉強しました

こんにちは。SCSKセキュリティプロダクト部Yubicoチームです。

先日FIDOセミナーに参加してきました。FIDOセミナーの概要については下記の通りとなります。

今回のFIDOセミナーでは複数のセッションで「パスキー元年」と言われていたのが印象的でした。

個人的にも今年はパスキーに関するニュース記事を多く目にし、パスキーが普及しつつあると感じました。

また、海外事例ではマイナンバー管理ポータルのような国が提供しているシステムに対してパスキーを導入しているところがあることを知り、日本と比べ物にならないほどデジタル化が進んでいる国があると感じました。

そもそもパスキーとはパスワードに代わる「鍵」となる認証情報の総称であり、単一の認証方式を示すものではありません。現時点ではFIDO認証のクレデンシャル情報をパスキーと呼んでいる場面が多い印象です。

GAFAMに限らず、ドコモやKDDI、ソフトバンク、LINEヤフー、任天堂、メルカリなど日本企業各社でもパスキーの利用が進んでおります。

 パスキーを用いた認証（ユーザー目線/システム目線）

　パスワードを用いた認証の場合、ユーザーはパスワードを利用したいサービスへ送り、サービス側はユーザーから送られてきたパスワードと事前に登録されているパスワードの一致比較をしますが、パスキーを用いた認証の場合、ユーザー側から鍵の情報を送り、サービス側はユーザーから送られてきた鍵と事前に登録されている鍵の一致比較をします。

 パスキーを用いた認証の流れ

1. ユーザーはパスワードではなく、生体情報やPINを入力します
   
    ※ユーザー目線では生体認証やPINで認証を行っているようにみえますが、ユーザーが入力した情報　　　　はデバイス内にある鍵を利用するための本人確認として利用され、利用したいサービス側に生体情報やPINは送られません。
   
2. 利用したいサービスに対して、鍵や署名を送り認証を行います

 パスキーの種類

　パスキーには大きく2つの種類があります。

• device-bound passkey（デバイスバウンド パスキー）
  
   単一のデバイスから決して外に出ないパスキー
  　（例：YubiKey、Windows Helloなど）

• synced passkey（シンクド パスキー）
  
   クラウド サービスを介してユーザーのデバイス間で同期されるパスキー
  （例：Apple、1Passwordなど）

 パスキーの課題

パスキーは便利な反面、現時点ではパスキー自身の定義が曖昧のため、下記のような課題があると考えており、今後の動向に注目したいと思います。

• 証明書認証のようなFIDO認証以外の公開鍵暗号方式を用いた認証方式の
  クレデンシャル情報は、パスキーと呼べるのか
  
  
• シンクドパスキーの場合、ユーザー操作によってパスキーをどのデバイスへも
  同期させられるため、同期先のデバイスの信頼性担保をどうするか
  
  
• シンクドパスキーの場合、パスキーを管理しているクラウドサービスの安全性を
  どのように担保するのか

 さいごに

　YubiKeyはFIDO認証のクレデンシャル情報を格納でき、デバイスバウンドパスキーに位置づけされます。

YubiKeyに関するご相談・お問合せは、お気軽に弊社までお問合せください。

お問い合わせ

ご質問、ご相談、お見積もりなど お気軽にお問い合わせください。

　プロダクト･サービス事業グループ
　ネットワークセキュリティ事業本部
　セキュリティプロダクト第二部