パスキーは罠ではない

数日前から、パスキーは罠である。それらを使用するな、という投稿が話題になっており、Hacker Newsでもかなりの上位に表示され、多くの人から「これは本当か？」というニュアンスで私に送られてきました。この投稿は「ウェブの非技術的な市民」向けに書かれており、見出しの助言は、パスキーの使用をやめてTOTPコードとパスワードに戻ることです。 議論 この投稿は、パスキーがアテステーションと呼ばれるものをサポートしているという、一見すると中心的な主張をしています。アテステーションとは、ウェブサイトがパスキーを作成したものを暗号学的に証明するよう要求できる機能のことです。 著者はこれを「隠されたダイヤル」と呼び、サイトがそれを徐々に上げていき、最終的には承認されたオペレーティングシステム上の承認されたソフトウェアでしかログインできなくなり、改造やLineageOSの使用、Netflixパスワードの共有もできなくなると主張しています。uBlock Origin、FIDO Allianceのメンバーリスト、そして英国の画像スキャン提案などを加えると、パスキーは「あなたの利益を優先するように設計されていない」という結論に至ります。 それは、急速にエスカレートした.gifのような話です。 それは説得力のある物語です。ただ、それが実際にはどのように機能しているのかとは一致しません... あなたのパスキーはアテステーションしません ほとんどの人が使用するパスキーは、iCloud Keychain、Google Password Manager、1Password、Bitwarden、またはあなたが選んだその他のソフトウェアに保存されている同期パスキーです。これらのパスキーは、ウェブサイトにアテステーションステートメントを一切提供しません。サイトが要求できたとしても、返ってくるものはありません。私はオープンソースのパスキーライブラリを作成し、誰でも利用できるようにしたので、このことを知っています。もしコンシューマー向けのウェブサイトが明日、アテステーションされたパスキーのみを受け入れると決定した場合、それは瞬時にほぼすべてのユーザーを締め出すことになります。どのウェブサイトがそんなことをするでしょうか？それに、コンシューマー向けのサイトに対するガイダンスは、長年アテステーションを要求しないことになっています。 アテステーションはあなたが思っているものではありません この投稿では、アテステーションを「承認されたパスキーマネージャー、オペレーティングシステム、およびファームウェアが使用されていることを証明する」と説明していますが、これは単純に真実ではありません。 アテステーションが存在する場合、WebAuthnアテステーションは、ベンダーからの証明書チェーンによって裏付けられた、認証器のメーカーとモデル（AAGUIDで識別される）をサイトに伝えます。それは、あなたのOS、ブラウザ、拡張機能、電話がルート化またはジェイルブレイクされているかどうか、ファームウェアのバージョン、あるいはそれが何色であるかについては何も語りません。 YubiKeyの推奨 これが私を最も驚かせた部分です。より強力なセキュリティを求める人に対して、この投稿はハードウェアセキュリティキー（YubiKeyなど）を推奨しています。なぜなら、それは「OS全体のアテステーションを回避する」からです。 YubiKeyはアテステーションを行う認証器です。それらはすべて、Yubico発行のアテステーション証明書を搭載しており、エンタープライズアテステーションは、組織が承認されたハードウェアキーを要求できるようにするために specifically 存在します。アテステーションが心配な点であれば、この投稿の推奨事項は、それから離れるのではなく、アテステーションに向かわせることになります！ TOTPは後退です この投稿は、TOTPを「すでに」素晴らしいソリューションとしています。TOTPはパスワード単体よりも優れていることは間違いありませんが、大きな弱点が一つあります。それは、コードを間違ったウェブサイトに入力できてしまうことです。私の親友であるTroy Huntに聞いてみてください。Evilginxのようなフィッシングキットは、パスワードとコードをリアルタイムで実際のサイトに中継し、あなたのセッションを奪い取ります。これは理論上の話ではなく、今日、アカウントが乗っ取られる多くの方法であり、それを証明する証拠があります。これがパスキーが解決する問題です。パスキーは作成されたドメインにバインドされているため、ブラウザはexample.comのパスキーをexamp1e.comで使用しません。読み取るコードはなく、ユーザーが間違えるものもありません。著者は付録で、パスキーはドメインバウンドであり、中間者攻撃に抵抗すると認めていますが、それでも読者にそれらを避けるように指示しています。フィッシングに強い認証情報をフィッシング可能なものと交換するのは、非常に悪い取引です... 何をすべきか パスキーを使い続けてください！サイトが提供しているところではどこでもそれを使用し、信頼できるパスワード/パスキーマネージャーに保存してください。資格情報を移動できるようにしたい場合は、それをサポートしているプロバイダーを選んでください。コンシューマーログインにアテステーションが忍び寄ることを心配しているなら、それは（もし起こるなら）大声で反対する価値があります。しかし、それはまだ起こっておらず、最大のプロバイダーはそれをサポートしていません。そして、待っている間に今日パスキーを避けることは、あなたを何もから保護せず、ただフィッシングに対して無防備にするだけです。 出典 この分野にはいくつかの経験があります。 私はWhyNoPasskeys.comを作成し、ウェブ上でのパスキーの利用可能性を追跡しました。 私は自身のSaaS企業でパスキーサポートを構築・展開しました。 私たちは独自のパスキーライブラリを構築し、セキュリティレビューを受けました。 私はウェブサイトでのパスキー使用に関するセキュリティ上の考慮事項について書きました。 私はパスキー101：パスキーの紹介と仕組みについて書きました。 私たちはパスキーライブラリをオープンソースにし、誰でも利用できるようにしました。 私はパスキー実装の広範なセキュリティテストを実施しました。パスキーでのアテステーションを使用しないことの限界を公に認めました。 私は、現在利用可能なアカウントを保護するための最良のものであるため、できる限りどこでもパスキーを使用していると考えています。そして、それらは罠ではありません。 この投稿を楽しんだり、役に立ったりしましたか？☕️コーヒーを一杯買って感謝の気持ちを示してください！🔔公開時に無料通知を購読してください！🤩メンバーになって私のコンテンツをサポートしてください！ タグ：パスキー