木を見て森を見ず
新しいテクノロジー、特に変革をもたらすテクノロジーは精査される。 その利点は、潜在的な欠点とともに注意深く理解される必要がある。しかし、進歩に対する危険は、焦点の不均衡から生じる......すべての利点を犠牲にして「エッジケース」に重点を置きすぎる場合である。
木を見て森を見ず。
パスキーはその完璧な例である。パスキー（別名パスワードレスFIDOクレデンシャル）は、認証アプローチとして変革をもたらすものだ。フィッシングに強く、使いやすく、将来性がある（エコシステムがサポートするオープンスタンダード）。ほとんどのユーザーにとってはまだ新しい認証方法だが、アプリのサインインにTouch IDやFace IDが採用されたのと同じように、パスキーはすぐに好まれる認証方法になるだろう。
簡単に言えば、パスキーはパスワードやワンタイムパスワード（OTP）よりも安全で便利です：
- 鍵は「フィッシング」されない（共有すべき「秘密」がない）
- 偽サイト（中間者攻撃）は、ユーザーになりすますための適切な秘密鍵を持っていないため、失敗する。
- 攻撃者は、秘密鍵が保存されているユーザーのデバイスとユーザー認証方法（指紋、顔認証など）を物理的に持っていなければならないため、攻撃はスケールしない。
- ユーザーは複雑なパスワードを覚えたり、ワンタイムパスワードを使いこなす必要はない。 秘密鍵／公開鍵の複雑さは舞台裏にある。
パスキーの安全性は格段に向上し、ユーザー・エクスペリエンスも大幅に改善されるが、「完璧」ではない「エッジケース」に注目が集まっているようだ。
- エッジケースその1：同期されたキーがどのように保護されているのかが不明確- もし漏洩したらどうなるか。 同期されたパスキーは、アップルやグーグルのようなプラットフォーム・プロバイダによって保存されるかもしれないし、パスワード・マネージャーによって保護されるかもしれない。これはパスワードと変わらない。しかし大きな違いは、パスワードは簡単にフィッシングされて盗まれる可能性があるということだ。パスワード・マネージャーはフィッシングを防ぐのに役立つが、すべての人が使っているわけではない。また、頼られる側は、パスワード・マネージャーを使っているかどうか、パスワードが本当にどれだけ強固なものなのかを見分けることができない。パスキーの場合、フィッシングへの耐性はユーザーの行動には依存しない。それは標準によって保証されている。そして、誰かのパスキーを盗むには、その人のアカウントを乗っ取るか、プロバイダーを騙して自分のデバイスにキーを復元させなければならない。しかし、現在のパスワードのリスクの方がはるかに大きい。
- エッジケース2：鍵の伝送セキュリティが不明。プロトコルはプロバイダー独自のものかもしれないが、大手プロバイダーはパスキーを強力に暗号化し、クラウドへのパスワードの同期も独自のプロトコルを使用している。
- エッジケース#3：鍵が共有されている（"AirDropped"）可能性がある。これは事実です。ユーザーは自分のパスキーを他のユーザーにエアドロップすることができます。しかし、パスワードも同じように簡単に共有することができます。 また、パスワードはパスキーとは異なり、簡単に推測することができるため、より脆弱です。
リスクを理解することは重要だが、利益を犠牲にしてはならない。
家中のドアや窓の鍵が、蹴るだけで簡単に外れてしまう薄っぺらい南京錠だと想像してみてください。蹴られても大丈夫な高セキュリティのデッドボルトシステムに交換するチャンスです。しかし、3階にはとても小さな窓が1つあり、泥棒がその窓を開けるには、30フィートのはしごや屋根を渡る体操が必要です。その1つの窓を固定することができないので、どの窓も固定しないことにした。
それは木を見て森を見ずだ。
要するに、他には何も変えなくても、可能な限りパスワードの代わりにパスキーを実装することで、攻撃対象が大幅に減るということだ。一般的に強力なデバイス・バインディングによるMFAを必要とする規制市場では、デバイス・バインディング・パスキーと同期パスキーを組み合わせて、3階の窓に対処するための「トラスト・アンカー」を作成することができます。
ノク・ノクには、魅惑の森を旅するためのあらゆる能力とノウハウがあります。
