Google Cloud

セキュリティキーとゼロトラスト

2021年2月17日

Google Cloud Japan Team

※この投稿は米国時間 2021 年 2 月 9 日に、Google Cloud blog に投稿されたものの抄訳です。

セキュリティキーとは、サイトやアプリへのログイン時に、ユーザー名とパスワードに加えて認証に使用する物理デバイスです。認証システムアプリや SMS コードによるログインよりも安全性が高いだけでなく、1 つのキーをさまざまなサービスに使用できるので、サービスごとに異なるドングルやフォブを持ち歩かなくて済みます。

セキュリティキーは、ログイン時に最高レベルの安全を提供し、ユーザーをフィッシングから守ります。

この見積もりをツイートする

今号の GCP コミックは、まさにこのセキュリティキーをテーマとしています。セキュリティキーは、「安全性の低いパスワードによってもたらされるリスクや、ユーザーを巧みにログインさせようとする偽サイトから、社員や企業を守るための手段」とお考えください。では、詳しく見ていきましょう。

https://storage.googleapis.com/gweb-cloudblog-publish/images/Google-Cloud-Comic-issue6-Exports_full-com.max-2200x2200.png

パスワードだけではアカウントを最低限に保護することしかできないため、これまで、さまざまな 2 段階認証プロセスの方式が登場してきました。2 段階認証プロセスは多要素認証とも呼ばれ、「ログインするために、ユーザー名とパスワード以外の情報も必要」ということを意味します。

SMS や音声通話でコードを取得する方法は、パスワードだけよりはましですが、コード入力時に偽サイトに誘導され、アカウントの認証情報を盗まれる恐れがあります。バックアップコードや認証システムアプリも、同じように悪質な手口にかかる恐れがあります。具体的には、攻撃者が個人情報を盗み、多要素認証を突破してアカウントに不正アクセスするケースがあります。

セキュリティキーは、高度なフィッシング攻撃を阻止できる唯一の手段です。

セキュリティキーには以下のような特長があり、多要素認証よりも安全性が高くなっています。

キーは特定のアカウントに対してあらかじめ登録しておく必要があります。一度登録すれば、ログイン時のセキュリティレベルが高まります。
セキュリティキーとウェブサイト間で、暗号 handshake を行います。キーの ID と登録済み URL をサイト側で照合し、確認できない場合はログインがブロックされます。
オープン標準である FIDO に準拠しているため、1 つのセキュリティキーを複数のサイトやデバイスで使用できます。個人用や仕事用など、さまざまなアカウントやデバイスで使用できるので、1 つのキーを持ち歩くだけで済みます。
Google Titan セキュリティキーのファームウェアにより整合性を検証し、改ざんを防ぎます。
形状やサイズが各種揃っています。USB-A、USB-C、NFC など、各自の用途に最適なものを選べます。
旧式の 2 段階認証プロセスをセキュリティキーに置き換えた環境では、ログインにかかる時間が短くなったほか、サポートチケットの数も減少したことが報告されています。