攻撃者は信頼済みのワークフローを悪用してパスキーで保護されたアカウントを乗っ取ることが可能ですが、その前提として、攻撃者があらかじめ防御網を突破しマルウェアを仕込んでいる必要があります。アナリストらは、この問題はパスキー自体ではなく、それを支える周辺プロセスの欠陥にあると指摘しています。
企業でのパスキー導入がパスワードに代わって広く進む中、Palo Alto Networks傘下のUnit 42が発表した、攻撃者がパスキー保護を回避する手法に関する報告書は憂慮すべき内容だと、アナリストらは指摘しています。ただし、実証された攻撃はいずれも、侵入に成功した後でなければ実行できない点は強調しています。
また、今回明らかになった問題は、パスキー自体の欠陥というよりも、それを取り巻く手続き上の脆弱性に起因するものだとも指摘しています。
「研究者たちは根底にある暗号技術そのものを破ったわけではありません。彼らが突いたのは、オンボーディングのフロー、リカバリーの仕組み、そして十分に検証されていなかった信頼シグナルといった“隙間”です」と、コンサルティング会社Acceligenceの最高経営責任者(CEO)を務めるJustin Greis氏は述べています。「この違いは重要です。実際のリスクがどこに存在するのかを教えてくれるからです」
Palo Altoの報告書は、「侵害された端末上のマルウェアが、オンボーディング、リカバリー、デバイス信頼の各ワークフローを悪用し、パスキーで保護されたアカウントを乗っ取る仕組み」や、「攻撃者がユーザーの操作なしに認証を行い、ユーザー検証の要件を回避し、同期済みのパスキー秘密鍵をすべて抽出する手口」を示す攻撃を明らかにしました。
Palo Altoは、総称して「Pass-ta-key」と呼ばれる3種類の攻撃カテゴリーを説明しています。まず「Pass-ta-key」は、権限昇格やデバイスのロック解除、ユーザーの操作を必要とせず、被害者の端末上で動作するマルウェアを使って、Googleが同期するパスキーで保護されたアカウントを攻撃者が乗っ取る手口です。次に「Silver Pass-ta-key」は、被害者が生体認証で端末のロックを解除したとGoogle Cloud Authenticatorに誤認させることで、認証時に被害者の端末を用いることなく、アカウントを完全に乗っ取る手口です。そして「Golden Pass-ta-key」は、同期済みのパスキーをすべて、認証情報の闇市場で共有・売買できる形式で抽出できてしまう手口です。
大半のグローバル企業が抱える脅威対象領域の複雑さを踏まえると、一部のCISOはこれまで苦労してきました。レガシー環境や仮想環境が混在する中で、パスワードレスのプロセスをどう適応させるかという課題です。 パスコードは、パスワードレス戦略を実現するための第一歩として、企業のCISOに近年広く受け入れられています。
アナリストやコンサルタントの多くは、Palo Altoが報告した欠陥は重大だという見方で一致しています。ただし、この攻撃はあくまで攻撃者がすでに環境への侵入とマルウェアの設置に成功していることを前提としています。残念ながら、そうした侵入は、権限を持つユーザーがどこか一人でも悪意あるリンクや添付ファイルをうっかりクリックしてしまえば成立してしまうため、「事前侵入」という前提自体は現実的に十分あり得るものと言えます。
問題の本質は実装面にあり
今回の報告書が明らかにしたのは、パスコードそのものに内在する欠陥というよりも、それを取り巻くさまざまな仕組みに十分な注意が払われてこなかったという点です。
Greis氏によれば、CISOは今後、ユーザーの行動が常に想定通りとは限らないという前提に立ち、何をすべきか、何をテストすべきかに注力する必要があるといいます。
同氏は、報告書で挙げられている複数の事例について、問題が生じたのは「規格そのものに欠陥があるからではなく、実装が規格に追いついていないからだ」と指摘しています。「これはセキュリティの世界で繰り返し見られてきたパターンそのものです。仕様は健全でも、それを実装するエコシステム側にばらつきがあるのです」
コンサルタントで、FormerGovのエグゼクティブディレクターを務めるBrian Levine氏も同意見です。
「自組織がリライング・パーティ(認証結果を受け取って利用する側)となっているサービスでは、ユーザー検証を必須にし、認証レスポンスに含まれるユーザー検証済みフラグを実際に検証すべきです」と同氏は述べています。「研究者たちは、このフラグなしでログインを受け入れてしまう実在のサービスを発見しました。これでは、本来多要素であるはずのログインが、静かに単一要素の認証に成り下がってしまいます」
IDCでセキュリティ部門のグループ担当バイスプレジデントを務めるFrank Dickson氏は、この攻撃が事前の侵入成功を前提としている点をCISOに強調したいと付け加えました。
「これはインターネット越しにパスキーがハッキングされるという話ではありません。攻撃者がすでに“家の中”に侵入した後に何をするか、という話なのです。ですから本当に重要な見出しは、『フィッシング耐性』というものは、端末がクリーンな状態でなくなった瞬間に耐性ではなくなってしまう、ということです」と同氏は述べています。
「検証をオプション扱いするのはやめるべきです」と同氏は助言します。「検証を必須に切り替え、サーバー側で毎回必ずチェックし、YubiKeyのようなハードウェア紐付けの鍵は、最も重要なアカウントのために温存しておくべきです。物理デバイスから決して外に出ない鍵は、攻撃者がどうやっても大量に収集できない鍵なのです」
Secret Double Octopusでマーケティング責任者を務めるOr Finkelstein氏も、CISOはシステムがパスキーをどう支えているかという点について、油断が生じていたという見方に同意しています。
「CISOはおそらく、ユーザー検証がどのように強制されているか、登録とリカバリーがどのような仕組みになっているか、認証情報が同期型かデバイス紐付け型かについて明確かつ徹底されたポリシーがあるか、そして疑わしい端末や認証システムを迅速に緩和できるITDR(ID脅威検知・対応)の仕組みがあるかを確認すべきです」と同氏は述べています。「多くの本格的な企業環境では、EDR(エンドポイント検知・対応)とデバイス管理によって初期攻撃の可能性は低減されますが、侵害後のあらゆる攻撃経路をふさげるわけではありません」
脆弱なサポートプロセスがパスキーを弱体化させる
一部の識者は、十分に堅牢とは言えないサポートプロセスの存在こそが、パスキーの能力を実質的に弱め、こうした仕組みの本来の意義を損なっていると指摘しています。
IANSの教員陣の一員であり、長年サイバーセキュリティのコンサルタントを務めるJ. Wolfgang Goerlich氏は、当初のFIDO2仕様は、秘密鍵を物理的な認証器に紐付けることで認証情報の窃取を排除していたと指摘します。ところが、同期型パスキーは認証情報の可搬性を復活させたことで、Palo Altoの報告書で指摘されているような形の認証情報窃取リスクも同時に復活させてしまったというのです。
「パスワードレスシステムの強度は、それを再確立する際のフローの強度とまったく同じです」と同氏は述べています。「ここで挙げられている本格的な手口はいずれも、まずデバイスに再登録を強制させることから始まります。多くのセキュリティチームは、この点についてモデル化したことも、監視したことも、対応を訓練したこともないのです」
Goerlich氏がCISOに向けて助言するのは、権限を持つアクセスや機密性の高いアクセスすべてに対し、ハードウェアトークンやコンピューターなど、デバイス紐付け型の認証器を必須とすることです。リスクの低いアクセスについてはウォレット型の利用を認めることも検討し得るとしつつ、同氏は次のように述べています。「とはいえ、Webブラウザに保存されたパスワードが長年リスクにさらされてきたのと同じように、ブラウザ内のパスキーについても、もはや容認できないリスクとみなすべき時が来ています」
