パスキーは、パスワード漏洩を過去のものにするはずでした。フィッシングされる対象もなく、使い回すべき秘密情報もなく、データベースに眠って漏洩を待つ文字列も存在しません。
やがてパスキーはパスワードを完全に置き換えると考えられています。しかし、マルウェアがマスターキーを盗んだ場合はどうなるのでしょうか。
研究者らは、Google Password Managerを介してマルウェアがパスキーで保護されたアカウントを乗っ取る手法を発見しました。これは重要な例外を浮き彫りにしています。パスキー自体は非常に安全であっても、それを取り巻くソフトウェアには依然として弱点が存在するということです。
パスキーとは
パスキーは公開鍵暗号方式に基づくパスワードの代替手段です。記憶して入力する秘密情報の代わりに、各アカウントには鍵ペアが割り当てられ、秘密鍵は端末の外に出ることはありません。Webサイト側が目にするのは公開鍵と署名済みチャレンジのみです。他のサイトでフィッシングされたり使い回されたりする再利用可能な情報が存在しないため、パスキーは「フィッシング耐性がある」とされ、ブラウザやパスワードマネージャーに保存されたパスワードよりも安全だと宣伝されています。
2024年末までにGoogleは、8億件のGoogleアカウントがパスキーを利用していると報告したとされています。
パスキーはパスワードに対して大きな利点を持っています。フィッシングサイトが盗んで得をするような情報が何もないという点です。パスキーはまた、作成されたWebサイトに紐付けられているため、誤ったドメインに対して認証させるよう仕向けることも格段に難しくなっています。
もう一つの大きな違いは、マルウェアがパスワードの保管庫を盗んだ場合、多くの場合、攻撃者はアカウントを完全に乗っ取る前に、スマートフォン上の認証アプリなど別の端末にある第二要素を突破する必要があるという点です。一方パスキーの場合、これに依存する多くのサービスはパスキーによる認証結果を単純に信用してしまい、場合によっては実際に生体認証やPIN入力のイベントが発生したかどうかを確認せず、単一の「ユーザー検証済み」フラグさえも信用してしまいます。
マルウェアの介入
しかし研究者らは、マルウェアに感染したWindowsコンピューターを起点として、Googleの同期パスキーを盗み出す3つの攻撃シナリオを考案しました。Google Password Managerは端末間でパスキーを同期できます。これは新しいコンピューターを購入するたびに新規パスキーを登録する必要がなく便利な機能ですが、同時に悪用の余地も生み出しています。
被害が軽微なものから深刻なものへと並べると、攻撃は以下の通りです。
- Pass-ta-key: 被害者のコンピューター上のマルウェアが、生体認証やPIN入力のプロンプトを一切必要とせず、ChromeとGoogleのクラウドに対して密かに有効なパスキーログインの作成を要求します。
- Silver Pass-ta-key: マルウェアが端末の再登録機能を悪用して独自のユーザー検証キーを登録し、被害者の端末には一切触れることなく、攻撃者のマシンから被害者としてログインします。
- Golden Pass-ta-key: マルウェアがGoogleのセキュリティドメインシークレット(マスター暗号鍵)を抜き取り、同期済みのパスキーをすべて復号します。これにより、たとえ元の端末へのアクセスを失った後でも、どこでもパスキーを再利用できるようになります。
安全を保つには
研究者らは各種サービスに対し、ユーザー検証フラグを盲目的に信用するのをやめ、アクセスを許可する前に実際に「ユーザー検証済み」イベントが発生したことを適切に検証するよう求めています。一方Googleに対しては、端末の登録・復旧プロセスを強化し、新しい端末や鍵が見た目通りに受け入れられるのではなく、本物のハードウェアに裏付けられていることを検証するよう促しています。
エンドユーザーにとって、パスキーは依然として、従来型のフィッシングサイトやパスワードの使い回しを狙ったクレデンシャルスタッフィング攻撃に対して強力な保護を提供します。ここで浮き彫りになった弱点は、パスキーという概念そのものというよりも、サーバー側で十分な検証を行わないまま実装・同期・信用してしまっている、その運用の仕方にあります。
ベンダー各社がこうしたギャップを解消するまでの間は、基本的なマルウェア対策の徹底が引き続き重要です。マルウェアにパスキーを悪用されないための最善策は以下の通りです。
- 更新を怠らない: システムやソフトウェアには可能な限り速やかにパッチを適用してください。
- 最新のリアルタイム型マルウェア対策保護機能を利用する。
- 予期しない添付ファイルやリンクは、安全と確認できるまでは疑わしいものとして扱う。
脅威を報じるだけでなく、取り除くために。
サイバーセキュリティのリスクを、見出しの中だけの話で終わらせてはいけません。今すぐ Malwarebytesをダウンロードして、お使いの端末を脅威から守りましょう。
