センセーショナルな報道が出て、それがある企業だったり、仕組みだったりに関する問題だったとき「失望した! は使わない!」と反射的に思ってしまうことが増えたような気がします。 SNSではそういったセンセーショナルな話題が良くも悪くもウケるので、真偽はともかく、名前が挙がってしまうと少なからずそういった感情が生まれてしまうのも致し方ないと思うようになりました。 セキュリティにおいては、「安全」や「信頼」が非常に重要です。 ある製品やベンダー、仕組みに対して少しでもそれを脅かすものが明らかになると、そういった感情が生まれてしまうでしょう。 でも、セキュリティこそ、その部分に冷静な判断が必要になるはず。 筆者自身も冷静になるため、今回ちょっと焦った、ある報道をピックアップします。 今回の主役は「パスキー」。 このコラムでもたびたび登場する、認証の仕組みです。 コラムの連載当初(2013年)から、本人認証の鍵となるパスワードや、デバイスを他人に使わせないためのPINコードなどを取り上げていましたが、パスワードはセキュリティの基本ながら、今にいたるまでその扱いにはずっと悩まされ続けています。 時代とともに「パスワードは使い回さずサービスごとに分けましょう」というタテマエ、「記号を入れて長く複雑なパスワードを作りましょう」という今ではちょっと間違った指針、「2要素認証を使いましょう」というより複雑な仕組みの導入、「パスワード管理ソフトを活用しましょう」という理想論を経て、現在ではひとまずの結論に近い「パスキーを使いましょう」と解説するようになりました。 パスキーとは、従来のパスワードや多要素認証(MFA)を公開鍵暗号に置き換えることで、フィッシング詐欺などを防ぐ非常に強力な仕組みです。 サービス側の対応が進み、われわれも生体認証機能付きのスマートフォンを持ち歩くようになりました。 こうして普及が進み、皆さんも幾つかのサービスで利用しているはずです。 しかし、普及に伴い、攻撃者はパスキーそのものを狙う新たな手法を開発し始めています。 それが、新たに公表された攻撃手法群「Pass-ta-key」です。
