フィッシング攻撃への対策 ～パスワードが諸悪の根源!?～

関連するソリューション

サイバーセキュリティ

ID-Ashura/セキュリティサービス

フェロー　関原 弘樹

フィッシング攻撃による具体的な被害

• マルウェアのインストール
  前述の注意喚起にあるように偽サイトにマルウェアをインストールさせるような指示を表示させ、情報の窃取、リモートコントロールできるようなマルウェアの送り込みをします。
  フィッシングに釣られた人は当然正規サイトだと思っていますからインストールも指示されれば疑うことなく実行するでしょう。
  
  
• カード情報の窃取や意図しない送金の実行
  ECサイトや銀行を騙った場合のMiTMからの連携ですね。
  ここでよくある重要な操作に対する2段階認証が設定されていたとしても単純な乱数表やワンタイムパスワードであればフィッシングサイトを経由した転送で突破され防御は不可能でしょう。
  
  
• 認証情報の窃取
  これは単純にID/バスワードの窃取です。
  後から該当サイトにログインし不正行為が可能です。
  また、他のサイトでのID/バスワードの使いまわしがあればそちらでも有効に活用し、商品/サービスの購入や不正送金などあらゆることができそうです。

認証情報の窃取と再利用について考える

1. 認証情報（パスワード）はサイトとユーザで共有される
2. フィッシング攻撃が成功すると攻撃者は認証情報を入手できる
3. 認証情報を推測されないようにすると使いにくくなる

出典：https://rat.cis.k.hosei.ac.jp/article/rat/linuxliteracy/2005/ssh.html


最後に、3.はまた別の問題ですが少し補足すると、ユーザアカウントの不正利用を防ぐという観点からは、これら認証情報は推測されないことが必須の条件ですが、その他にユーザビリティの観点から、提示（入力）しやすいことや紛失しにくい（忘れにくい）こと、または必要に応じて容易に変更が可能であることが必要です。
 
これらを満たし、なおかつサイバーセキュリティリテラシーの初歩である「サービス間でパスワードを共有しない」を守ろうとすると、おのずと長いパスワードを何らかの方法で保持しておく必要がありますが、それは非常に使いにくい状態となります。

実際の利用では、脆弱なパスワードやその使いまわしが当たり前のように行われる結果となり、ブルートフォース/辞書攻撃からの推測成功やフィッシング攻撃での漏洩の際に、被害が他サイトを巻き込んで拡大することとなります。

求められてきたユーザビリティを兼ね備えた強固な認証方法

今年に入って、ニュース等でパスキー（Passkeys）というキーワードを耳にした方も多いと思います。





パスキーについて3行でまとめると、

• FIDOアライアンス※によって策定されたパスワードを使わない認証方法
• 公開鍵暗号を生体認証デバイスと組み合わせたユーザフレンドリーな実装
• 対応するサイトと生体認証デバイスを持つ端末が連携して動作

1. パスワードが存在しない
   覚える必要がない/パスワードポリシーも不要/使いまわしもあり得ない
   
   
2. ネイティブで「持ち物」と「本人」のMFAに対応
   使うだけで高い認証レベルに対応可能
   ※認証要素MFAについては章末の【参考】で補足
   
   
3. 固定的な認証情報を送信しない
   偽サイト側や通信経路上で認証情報を窃取することは不可能
   
   
4. 認証情報のやり取りは正しいサイトとのみ行われる
   デバイスに保存される認証情報に“送信すべき正しいサイト”の情報が含まれるため、フィッシングサイトにアクセスしても認証プロセスが実行されないためフィッシングが成立しない
   
   
5. 「持ち物」要素を認証するがデバイスをまたがって共有可能
   デバイスの紛失/故障時のリカバリが従来方式より容易
   ※原則これに対応するものをパスキーといいますが、広義のパスキーではプラットフォームにより対応していない場合あり、プラットフォームにより対応していない場合あり

https://fidoalliance.org/white-paper-multi-device-fido-credentials/


となり、パスワード認証が持つ不正使用リスクとユーザビリティの低下を見事に解消していることがわかります。


逆に弱点というか小さいハードルとして挙げられるのは、一つはソフトウェア的にサイト（サービス）側の対応が必要なことで、もう一つはハードウェア的にシークレットの読み出し制限機能を持った生体認証デバイスが必要（プラットフォームによりスマホを認証デバイスとして連携することは可能）なことです。

ただ、詳細は後述しますが2023年11月時点での状況を考えると、近い将来にSW/HWともに環境が整い問題は、ほぼなくなるのではと感じています。（個人の意見です）


窓の杜より

https://forest.watch.impress.co.jp/docs/news/win11_22m4/1537829.html

【参考】
認証に利用する要素については、現在典型的に以下の3つに分類することが一般的
知識（Something you know）-パスワード、PIN. 
持ち物（Something you have）-デバイスそのものやそれに送信するOTP 
本人（Something you are）-指紋、顔
アクセスする情報の重要度によっては、MFA（多要素認証）としてこのうち2つ以上を組み合わせて認証する

パスキーの使い方は？

では具体的にはどのように使うのか？
これについては紙面の関係もありますので、ここは主にリンクの紹介とさせてください。

誤解を恐れず一行で説明すると言うと、対応する各サイト側で設定を行いパスキーを有効にした後、生体認証デバイスを持つスマホやPCを使ってパスキーの認証情報を登録します。






https://support.google.com/chrome/answer/13168025


また、パスキーの認証情報はスマホ、PCのプラットフォームが持つクラウドベースのアカウント機能（○○アカウント/○○ID）を利用し簡単にデバイス間で共有できます。



https://support.apple.com/ja-jp/guide/iphone/iph82d6721b2/ios


パスワード不要の認証がChromeとAndroidでも実現、新方式「パスキー」の使い方
第993回：iOS 16の新機能「パスキー」、どうやって使うの？　何に使うの？
パスワードの代わりにパスキーでログインする
iPhoneでパスキーを使ってアプリやWebサイトにサインインする
パスキー認証

パスキーが使えるOS/ブラウザ/サービス（すべての条件で対応要） 

OS
Windows11（2023年10月リリース）
macOS 13
Android 9～
iOS 16～

ブラウザ
Google Chrome 109～
Microsoft Edge 109～
Safari 16～
Mozilla Firefox（限定的）

サービス
Google
Apple
Microsoft
Amazon
X
GitHub
Yahoo! JAPAN ID
au ID
dアカウント
LINE
※Web上で収集した情報がベースですべて未検証かつサポートが限定的な組み合わせあり
 
これらは代表的なものだけですが大手が参入することにより導入が加速しているように見えます。

おわりに

最近大手ECサービスやキャリアを騙ったフィッシングメールが私のメールボックスを埋め尽くしています。送信元のドメインごと拒否したくても実態を確認する手間があり、ちょっと二の足を踏んでいる状態です。

このようなニュースもありましたが、すべての大手サービス事業者はこのニュースのように送信元ドメインの周知/最小化（DMARC）と識別性（BIMI）についてより一層取り組んでほしいと思う今日この頃です。


au、なりすましメール対策を強化 iOSメールアプリでも送信元アイコン
2023/09/29 (Impress Watch)

https://www.antiphishing.jp/news/entry/20230929_impress_watch.html


ではまた、次回のエントリーでお会いしましょう。


Hiroki Sekihara,
CGEIT, CRISC, CISSP, CCSP, CEH, PMP, CCIE #14607 Emeritus,
AWS Certified Solutions Architect – Professional,
AWS Certified Security – Specialty,
Microsoft Certified Azure Solutions Architect Expert,
Microsoft Certified DevOps Engineer Expert,
Google Cloud Certified Professional Cloud Security Engineer,
Oracle Cloud Infrastructure 2021 Certified Architect Professional,
Oracle Cloud Platform Identity and Security Management 2021 Certified Specialist,


当サイトの内容、テキスト、画像等の転載・転記・使用する場合は問い合わせよりご連絡下さい。

エバンジェリストによるコラムやIDグループからのお知らせなどを
メルマガでお届けしています。