YubiKey 5シリーズがパスワードレス認証に対応

2要素認証に使用される人気のYubiKeyハードウェアトークンのメーカーであるYubicoは本日、YubiKey 5 NFC、YubiKey 5C、YubiKey 5 Nano、YubiKey 5C Nanoを含むYubiKey 5シリーズを発売しました。

YubiKey 5 パスワードレス認証

この新製品シリーズの主な特徴は、FIDO 2仕様とW3C Web認証（WebAuthn）APIのサポートです。これにより、ユーザーはYubiKey 5トークンを一度タップするだけでウェブサイトにログインできます。これは、同じタイプの公開鍵暗号化システムを使用するUniversal 2nd Factor（U2F）仕様に似ています。ただし、U2Fとは異なり、ウェブサイトへの認証にパスワードは不要です（そのため、「passwordless」という名称になっています）。

このソリューションはパスワード認証を大幅に向上させるものです。悪意のあるハッカーは、YubiKeyにマルウェアを感染させる方法を見つけない限り、ログイン情報を盗むことができなくなります。また、ユーザーは、使い古されたパスワードがウェブサイトのデータ漏洩によって漏洩する心配をする必要も、パスワードマネージャーを使用する必要さえなくなります。少なくとも、ほとんどのウェブサイトがこのタイプの認証をサポートするようになると、その心配は無用になります。

とはいえ、WebAuthnは依然として1要素認証ソリューションであるため、パスワードとU2Fトークンの組み合わせほど安全ではありません。ハードウェアトークンやサーバー側のトークンが将来何らかの形で侵害され、攻撃者が認証スキームを回避してユーザーのアカウントを侵害されるという、わずかなリスクが依然として存在します。

しかし、現時点では、パスワードレス トークンは、特にアカウントに弱いパスワードを使用したり再利用したりする傾向があるほとんどの人にとって、パスワードよりもはるかに安全なソリューションであるはずです。

さらに、ユーザーは YubiKey 5 トークンの PIN を有効にすることもでき、これにより攻撃者がトークンを乗っ取ったり、窃盗犯が他人のトークンを使用したりすることがより困難になります。

YubiKey 5トークンでサポートされているその他のプロトコル

パスワードレスログインを可能にするFIDO 2仕様のサポートは、YubiKeysの最新機能です。YubiKey 5トークンは、FIDO U2F、Yubico OTP、OATH-TOTP、OATH-HOTPなど、他の認証プロトコルも幅広くサポートしているため、最新の二要素認証と従来の二要素認証の両方に使用できます。その他のプロトコルには、スマートカード（PIV）、OpenPGP、チャレンジレスポンスなどがあります。

すべてのトークンには、暗号鍵を保護し、暗号化処理を実行するためのセキュアエレメントが搭載されています。トークンは米国とスウェーデンで製造されており、Windows、macOS、Linux、Chrome OS、Android、iOSの各オペレーティングシステム、および主要なウェブブラウザで動作します。ただし、二要素認証のU2Fプロトコルと同様に、ウェブサイトはWebAuthnをサポートする必要があります。

強力なフィッシング対策

ハードウェアトークンは、過去にフィッシング攻撃の阻止に極めて効果的であることが実証されています。U2F対応のYubiKeyを社内で使用していたGoogleは、使用中にアカウント乗っ取りがゼロになり、ログイン速度が4倍になり、IT部門への問い合わせが92%減少したと述べています。

Yubico社はまた、YubiKeyによってMicrosoft社のパスワードリセットにかかるITサポートコストが大幅に削減されたと述べています。このコストは同社にとって月額1,200万ドル以上かかっていました。Yubico社は、このITコストの劇的な削減は、ハードウェアトークンが一般的なパスワードよりもはるかに安全で、使いやすさも優れているためだと主張していますが、後者については確かに議論の余地があります。 

Yubicoの最新の競争

つい最近までYubicoの主要顧客であり、U2F規格策定のパートナーでもあったGoogleは、8月下旬に独自のTitan Keyを発表しました。これはU2F専用のセキュリティキーであり、Yubicoが以前に発表したSecurity Keyのより直接的な競合製品です。GoogleのTitan Keyは、最新のFIDO 2パスワードレス仕様をサポートしていません。

GoogleのTitan Keyに関する潜在的な懸念事項の一つは、中国で製造されており、Feitianトークンと非常に類似していることです。FeitianはYubicoの中国における主要な競合企業の一つです。GoogleはTitan Keyに独自のカスタムファームウェアを使用していますが、ハードウェアバックドアに対するデバイスの保護がどの程度強化されているかは明らかではありません。

もう一つの潜在的な問題は、Titan KeyがNFCではなくBluetoothを使用していることです。NFCはより安全だと考えられています。Yubicoはこれまでワイヤレス接続にNFCのみを使用しており、Bluetoothのセキュリティに反対する声明を出しています。

YubiKey 5 シリーズ トークンは、Yubico のストアから 45 ドルから購入できます。

ルシアン・アルマスは、Tom's Hardware USの寄稿ライターです。ソフトウェア関連のニュースやプライバシーとセキュリティに関する問題を取り上げています。