パスワード不要の認証技術「パスキー」はパスワードよりもエクスペリエンスが悪いという批判
FIDOアライアンスが仕様を策定した「パスキー」は、パスワードではなく生体情報を用いて認証する「FIDO 2.0」を「Webauthn」標準に基いて利用して得た資格認証情報をデバイス単位で管理運用する技術です。このパスキーが抱える問題点について、Webauthn標準に関わったエンジニアのFirstyearことウィリアム・ブラウン氏が自身のブログで解説しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2024-04-26-passkeys-a-shattered-dream/ Webauthnがパスワードに代わる認証技術として大きな可能性を秘めていると考えていたブラウン氏は、2019年にオーストラリアからアメリカに渡り、友人と共にWebauthnのRust実装であるwebauthn-rsの開発を始めました。その過程で
高木浩光＠自宅の日記 - 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章）
■ 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章） 7payの方式はなぜ許されないのか、なぜあんな設計になってしまったのか、どう設計するのが正しいのか、急ぎ書かなくてはいけないのだが、前置きが長くなっていつ完成するかも見えない。取り急ぎ以下のツイートでエッセンスを示しておいた*1が、すでにわかりかけている人達にしか刺さらなそうだ。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) July 8, 2019 同様のことは4年前にNISCのコラムに書いたが、消えてしまっているので、ひとまず、その原稿を以下に再掲しておく。 スマホ時代の「パスワード」のあり方を再考しよう 高木浩光 2015年2
2 段階認証は本当に安全なのか調べてみた | はったりエンジニアの備忘録
このブログを読んでいる人なら Google や AWS の 2 段階認証（マルチファクタ認証）を有効にしていると思います。もしパスワードが漏れてしまってもワンタイムパスワードを入力しないと認証されないので安心です。 有名どころのサービスでは使えるところが増えてきましたが、2 段階認証を有効にしていれば万全なのでしょうか。エンジニアである以上、その仕組みを理解したうえで自信を持って安全と言いたいところ。 というわけで、2 段階認証は本当に安全なのか仕様を紐解きながら調べてみました。 ワンタイムパスワードの仕様 ワンタイムパスワードを生成する仕様は HOTP と TOTP の 2 つがあり、RFC の仕様になっています（TOTP はドラフト段階）。 HOTP (HMAC-Based One-Time Password Algorithm) TOTP (Time-Based One-Time P
パスワード管理と認証に関する調査。ID＆PWの管理、男性は「記憶」女性は「紙にメモ」。｜リサーチバンク
■Ｑ１．あなたはログインが必要なウェブサイトで使うIDやパスワードをどのように管理していますか？ ※複数回答/10代から60代の全国男女(n=1200人) ■Ｑ２．あなたがログインが必要なウェブサイトで使うパスワードの設定方法でもっとも当てはまるものを教えてください。 ※単一回答/10代から60代の全国男女(n=1200人) ■Ｑ３．あなたがログインが必要なウェブサイトで使うパスワードの平均的な文字数を教えてください。 ※単一回答/10代から60代の全国男女(n=1200人) ■Ｑ４．あなたがログインが必要なウェブサイトで使うパスワードは、異なる文字種を使っていますか？ ※文字種とは、大文字・小文字・数字などのことです。 ※単一回答/10代から60代の全国男女(n=1200人) ■Ｑ５．あなたは、ログインが必要なウェブサイトで使うパスワードをどのくらいの頻度で変更していますか？ ※単一回答
「オンライン本人認証方式の実態調査」報告書について：IPA 独立行政法人 情報処理推進機構
2013年以降、流出した個人のID・パスワード（以後、アカウント）が、不正アクセスに悪用される、“パスワードリスト攻撃“が多発しています（*1）。IPAではこれを受け、インターネットサービスにおける利用者（個人）とサービス事業者双方のオンライン本人認証（*2）の実態調査をおこない、安全なオンライン認証を実現する上での利用者側、サービス事業者側の対策を検討し、優先すべき対策項目を報告書として取りまとめました。 調査結果から、利用者の安全なパスワードに対する認識は決して低くはないが、適切に設定している割合は低い。また、サービス事業者が提供しているパスワード設定のセキュリティレベルは最低限の安全条件を満たしているとは言い難い、という結果が判明しました。調査結果のポイント及び詳細については、以下のプレスリリースや調査報告書をご参照ください。 （*1）本報告書では公開情報をもとに2013年に発生した
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
今さら聞けない「認証」のハナシ
Androidの「パターンロック」認証は、のぞき見で簡単に破られることが判明：米研究結果
KDDI総研、加速度センサの個体差から固有IDを生成する技術を開発 | スラド YRO