パスキー万能説破れる？ Google同期パスキー実装に見つかった“想定外の穴”：もう一度読みたい「対策見直し」ニュース（2/2 ページ）

[＠IT]

同期パスキーを狙う攻撃にどう対処すればいいのか？

　対策として、サービス事業者にはuserVerificationをrequiredに設定するだけでなく、UVフラグを厳格に検証することが求められる。認証基盤を提供する側には、新たに登録される端末鍵の出どころやアテステーションを確認し、端末の復旧や再登録が不必要に繰り返されないよう検知・制限することが重要となる。また、SDSのような重要な暗号鍵をログやクライアントメモリへ露出させず、暗号処理を隔離環境内で完結させる設計も必要だ。

　利用企業や利用者にとっては、今回の攻撃はいずれも侵害済み端末が前提となる。このためEDRなどによるマルウェア対策を徹底するとともに、Chromeを最新の状態に保ち、不審なソフトウェアの実行を防ぐといった基本的な端末防御が重要になる。

　研究チームは、パスキーがパスワード由来の攻撃を大幅に減らす有効な認証方式であること自体は変わらないと評価している。一方で、端末がマルウェアに侵害され、クラウドへ送られる「信頼できる端末」という信号そのものを攻撃者が操作できる場合には、期待された安全性を完全には維持できないことも示した。

　今回の研究は、パスキーという認証方式そのものの暗号安全性を否定するものではない。同期型パスキーの実装や復旧フローにも十分な防御設計が必要であり、パスキーは端末保護や厳格な認証検証と組み合わせて運用する多層防御の一要素として捉える必要がある。