Yubicoの「セキュリティキー」が新しいFIDO2候補プロトコルをサポートして発売

FIDO2。クレジット：Yubico — FIDO2。（画像提供：Yubico）

FIDOアライアンスとW3Cは、ユーザーがデスクトップやモバイルデバイスからウェブサイトにアクセスする際にパスワードを使用せずにIDを認証できるようにすることを目的としたFIDO2プロジェクトに共同で取り組んできました。両グループは、FIDO2が現在、W3CのWeb認証（WebAuthn）プロトコルの最終承認前の段階である勧告候補段階にあると発表しました。

FIDO2とWebAuthn

WebAuthnは、FIDO2プロジェクトの中核コンポーネントとして開発されており、FIDOのClient to Authenticator Protocol（CTAP）仕様も含まれています。CTAPは、セキュリティキーやモバイルデバイスなどの外部認証デバイスが、NFC、Bluetooth、またはUSB経由で、PCや他のスマートフォンなどのユーザーのプライマリコンピューティングデバイスに強力な認証情報を送信できるようにします。

FIDO2プロジェクトの根底にある考え方は、ウェブサイトへのログインを、公開鍵暗号を可能にするFIDO U2Fセキュリティキーを使用するのと同じくらい簡単かつ安全にすることです。秘密鍵はデバイス上にローカルに保存され、ユーザーが認証するサーバーは対応する公開鍵を受け取ります。これにより、たとえデータ侵害が発生しても、ハッカーはパスワードを盗むことができず、オンラインでの個人情報漏洩リスクを最小限に抑えることができます。

WebAuthnとCTAPアーキテクチャ。出典：FIDOアライアンス — WebAuthnとCTAPのアーキテクチャ。（画像提供：FIDOアライアンス）

FIDOアライアンスのエグゼクティブディレクターであるブレット・マクドウェル氏は次のように述べています。

本日発表された新しいFIDO2仕様と主要なウェブブラウザのサポートにより、あらゆるプラットフォームとデバイスでFIDO認証をユビキタスにするための大きな一歩を踏み出します。長年にわたり、データ侵害やパスワード認証情報の盗難が深刻化している今こそ、サービスプロバイダーが脆弱なパスワードやワンタイムパスコードへの依存を断ち切り、フィッシング耐性のあるFIDO認証をすべてのウェブサイトとアプリケーションに導入すべき時です。

Google、Microsoft、Mozillaはすでに新しい仕様のサポートを約束しています。Microsoftは、2015年にWindows 10のパスワードレスログイン機能でEdgeについていち早く言及した企業の1つです。

Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。

AppleはこれまでFIDOアライアンスへの参加を避けてきました。しかし、W3CがWebAuthnプロトコルの下で仕様を標準化すると予想されるため、Appleも将来的に自社のデバイスにFIDOを統合する可能性が高いでしょう。

新しい仕様を実装するには、次の 2 つの方法があります。

a) よりシンプルな認証よりシンプルな認証: ユーザーは、以下の認証方法を使用して、1 回のジェスチャでログインできます。PC、ラップトップ、モバイルデバイスに内蔵されている認証方法 (指紋や顔の生体認証など)。セキュリティキーやモバイルデバイスなどの便利な外部認証方法 (CTAP を使用したデバイス間認証)。CTAP は、WebAuth を補完する FIDO アライアンスによって開発された外部認証プロトコルです。b) より強力な認証: FIDO 認証は、パスワードや関連する認証形式のみに依存するよりもはるかに強力であり、次のような利点があります。ユーザーの資格情報と生体認証テンプレートは、ユーザーのデバイスから外部に送信されることはなく、サーバーに保存されることもありません。アカウントは、盗まれたパスワードを使用するフィッシング、中間者攻撃、リプレイ攻撃から保護されます。

新しいFIDO 2 Yubikey

2要素認証によく使用されるセキュリティキー「Yubikey」の開発元であるYubicoは、Googleと共にFIDO U2F規格の共同開発元の一つです。同社は、WebAuthnやCTAPを含む新しいFIDO 2プロトコルをサポートする新しいハードウェアトークン「Security Key by Yubico」を発表しました。

セキュリティキーは、FIDO2標準をサポートするウェブサイトにパスワードなしで直接認証するために使用できます。また、ユーザーはオプションでPINまたは生体認証も有効にして、二要素認証ソリューションとして使用することもできます。

このソリューションと以前の仕組みの違いは、パスワードが必須で、ユーザーはセキュリティキーを第二要素としてしか使用できなかった点です。現在は、パスワードまたは生体認証は任意です。