攻撃者はマイクロソフトのパスキーシステムの欠陥を悪用し、驚くほど古いパスワード攻撃と似た手口で侵入できることが判明しました。しかし、だからといってパスキーを見限る必要はないといいます。
近年、パスキーへの注目が高まっています。フィッシング耐性を備えているとされるうえ、秘密鍵を利用する仕組みのため、ID情報や認証情報が盗まれるデータ侵害の影響をほとんど受けません。また、ユーザーは生体認証やPINを有効にしてデバイスに認証情報を直接組み込むため、従来のパスワードのように記憶する必要も一切ありません。それでも、普及のペースは緩やかなものにとどまっています。
しかし、その状況は変わるかもしれません。マイクロソフトは9月1日から、同社のクラウドベースID・アクセス管理サービスであるMicrosoft Entra IDのサインインにおいて、パスキーを既定の認証方式にすると発表しています。
パスキーが着実に標準となりつつある中、SpecterOpsのプリンシパルセキュリティリサーチャーであるMichael Grafnetter氏は、このパスワードレス代替手段のセキュリティとリスクについてさらに深く掘り下げました。来月ラスベガスで開催されるBlack Hat USAカンファレンスで発表予定のこの研究では、Windows 11とMicrosoft Entra IDにおいて、悪用可能な状態に近いゼロデイ脆弱性を3件発見しました。Grafnetter氏が発見した脆弱性のうち2件はリプレイチェーンを形成しており、これを利用すると攻撃者はフィッシング耐性のある多要素認証(MFA)を回避しながら、特権を持つクラウドIDになりすませる可能性があります。
Grafnetter氏はこのチェーンを「Pass-the-Passkey」と呼んでいます。これは、攻撃者が実際のパスワードを必要とせずに認証情報を盗んで再利用する、pass-the-hashやNTLMリレーといった類似のWindowsハッキング手法になぞらえた名称です。
「パスキーはパスワードに比べれば依然として大きな進歩ですが、万能ではありません」とGrafnetter氏はDark Readingに語ります。「今回の研究が示しているのは、根底にあるWebAuthnの暗号技術が健全であっても、周辺の実装に欠陥があれば、攻撃者はリプレイ攻撃やリレー攻撃、さらにはフィッシングに似た攻撃経路を再び作り出せてしまうということです」
「一つの居心地の悪い教訓」
World Wide Web Consortium(W3C)とFIDO(Fast Identity Online)アライアンスの共同イニシアチブとして開発されたWebAuthnは、パスキーを支える基盤技術です。ユーザーが安全なシステムにログインする際、本人確認を行う専用のデジタル認証情報を発行するという重要な役割を担っています。
しかし、SpecterOpsの調査によると、Windows 11はデジタル鍵の完全なコピーをそのままイベントログに書き込んでいたことが分かりました。さらに、Entra ID側でもそうしたアサーションの再利用を適切に防止できていなかったとGrafnetter氏は付け加え、Windows HelloやYubikeyなどのFIDO2セキュリティキーをEntra IDと組み合わせて利用している組織は、これらの欠陥に特に注意を払うべきだと指摘しています。
攻撃者はこれらの欠陥を悪用して特権を持つクラウドユーザーになりすまし、フィッシング耐性のあるMFA要件を回避できる恐れがあると同氏は警告しています。
主なリスクは標準規格そのものではなく、不完全あるいは誤った実装にあるとGrafnetter氏は警告します。パスキーの検証には決して単純ではない暗号処理と複数の重要なチェックが伴うため、開発者は独自実装を行うのではなく、十分にテストされたWebAuthnフレームワークを利用するべきだと同氏は強く勧めています。
「今回の研究から得られた居心地の悪い教訓の一つは、標準規格の共同執筆者であるマイクロソフトでさえ、仕様が求めるWebAuthnアサーション検証手順の一部を見落としていたという事実です」と同氏は明かしています。
研究チームはこの調査結果をマイクロソフトに開示し、同社は「クラウドサービスに緩和策を静かに展開」しました。Grafnetter氏がその修正に気づいたのは、Black Hatでの発表用にデモの録画をしている最中だったといいます。
Windowsのパスキーに関する主要な脆弱性にはCVE-2026-34348が割り当てられました。これは「攻撃者がネットワーク経由で情報を漏えいさせる可能性がある、Windows Event Logging Serviceの保護機構の不具合」です。7月14日に修正パッチが適用されましたが、Grafnetter氏によるとこれはBlack Hatカンファレンス前最後のPatch Tuesdayだったといいます。
パスキーを見限るのはまだ早い
今回の研究はマイクロソフトのパスキーシステムに存在する穴を明らかにしただけでなく、より広い業界全体への教訓も浮き彫りにしたとGrafnetter氏は述べています。それは、パスキーは攻撃をなくすのではなく、攻撃者の狙いどころを移すだけだというものです。パスキーはアクセス権を提供するものであり、まさにそれこそが脅威アクターの標的なのです。
特に特権ユーザーについては、組織はデバイスに紐付いたパスキーを優先的に採用し、アテステーションを強制するとともに、フィッシング耐性のあるMFAだけを唯一の防御層として頼るべきではないと同氏は推奨しています。
パスキーの暗号技術自体は強固かもしれませんが、エンドポイントのセキュリティとサーバー側の検証も依然として非常に重要だと同氏は強調します。今回の調査で判明した欠陥に対処するため、組織はWindows 11にパッチを適用し、コード実行を制限し、特権アクセス用ワークステーションを利用し、リモートでのログアクセスを制限すべきだといいます。それでも同氏は「パスキーのセキュリティについては楽観的だ」としています。
「私たちが説明した攻撃経路は、従来のパスワード攻撃に比べればはるかに複雑なままです。ですから、私たちは引き続きパスキーの採用を推奨します」と同氏は述べています。
