多要素認証によるアプリユーザーの保護

※この投稿は米国時間 2020 年 3 月 19 日に、Google Cloud blog に投稿されたものの抄訳です。

最近は、機密情報や個人を特定できる情報、プライベートな情報を含むユーザー アカウントをパスワードで保護するだけでは不十分です。パスワードは再利用されることが多く、フィッシングや盗難の被害にあうことがよくあります。

このような事実を念頭に、Google は最近ニューヨーク大学とカリフォルニア大学サンディエゴ校の研究者と協力して、アカウントの乗っ取りを防ぐうえで基本的な予防策がどれくらい効果的なのかを調査しました。その結果、Google アカウントに第 2 の認証要素として SMS を追加するだけで、調査中に発生した最大 100% の自動ボット、96% の一括フィッシング攻撃、76% の標的型攻撃をブロックできることが示されました。

この機能を使用すると、アプリケーションにログインしようとするユーザーに対して、ユーザー自身による MFA への登録を要求するように Identity Platform を構成できます。これは 2 要素認証（2FA）と呼ばれるもので、SMS メッセージを受信するデバイスを登録します。ユーザーが第 1 の認証要素（メールアドレス / パスワードの組み合わせ、ソーシャル メディアのログイン情報、SAML、OIDC など）を使用してアプリへのログインを試行すると、Identity Platform は 6 桁の認証コードを入力するようにユーザーに要求します。このコードは SMS 経由で登録済みのデバイスに送信され、入力するまではアプリやサービスにログインできません。

使ってみる

この新機能について詳しくは、ドキュメント ページをご覧ください。Identity Platform の使用を開始するには、まず GCP Marketplace で Identity Platform を有効にします。Cloud Next ‘19 のプレゼンテーションとクイックスタートもご覧ください。

- By Google Cloud プロダクト マネージャー Vignesh Rajamani、Google Cloud ソフトウェア エンジニア Xiaoxiong Lu