英国政府、2300万人のユーザー向けにパスキーログインを導入しフィッシング攻撃対策を強化

英国政府は、GOV.UK One Loginにおいてパスキー認証の導入を開始し、2300万人を超えるユーザーに対して、より高速かつ安全な公共サービスへのアクセス手段を提供しています。

この取り組みは、詐欺や認証情報窃取の標的になりやすいパスワードやSMSベースの確認コードへの依存を減らすことを目的としています。詐欺や認証情報窃取の標的になりやすい

英国政府がパスキーログインを導入

GOV.UK One Loginは、児童保育支援、税金管理、国家年金の確認、運転免許証の更新など、さまざまな政府サービスに対応する単一のサインインソリューションです。

導入を選択したユーザーは、指紋認証、Face ID、デバイスPINといった既存のローカルセキュリティ機能でロック解除できる、デバイスに紐づいたパスキーを使って認証できるようになります。

Securitytraining courses

従来のパスワードベースのサインイン方式とは異なり、パスキーを使えばユーザーはパスワードを記憶したり、入力したり、使い回したり、リセットしたりする必要がなくなります。

英国政府の発表によると、パスキー認証はユーザー名・パスワード・2段階認証コードを使う場合に比べて最大8倍高速になるとしています。また、この技術によりSMSワンタイムパスコードの送信に伴う遅延や運用コストも削減されます。

初期トライアルでは、GOV.UK One Loginの利用者30万人以上がパスキーを導入しました。英国政府によると、1日あたりのサインインのうち既に約10件に1件がパスキーを使用しており、SMSコストとして納税者は1日あたり約600ポンドを節約できているとしています。

パスキーは暗号技術に基づきデバイスに紐づく設計となっているため、セキュリティ上の利点があります。各パスキーは特定のWebサイトやアプリケーションに紐づいており、コピーや推測、複数サービスでの使い回しができません。認証時には、ユーザーのデバイスが正規のサービスと通信していることを確認したうえでログインを許可します。

この設計は、一般的なフィッシング攻撃への直接的な対策となります。従来の認証情報窃取のシナリオでは、被害者が偽のログインページに誤ってパスワードを入力してしまい、攻撃者がそれを使い回せる状態になるケースがありました。

パスキーは使い回し可能なパスワードをWebサイトに渡すことがないため、偽造されたログインポータルや欺瞞的なフィッシングメールの効果を大幅に低下させます。

パスキーのロック解除に使われる生体認証データは、ユーザーのデバイス内にのみ保存されます。GOV.UK One Loginがユーザーの指紋データや顔認証データを受け取ったり保存したりすることはありません。生体認証やPINによる確認は、あくまでデバイスに保存されたパスキーを利用するためのローカルな承認手段として機能します。

デジタル政府担当大臣のステファニー・ピーコック氏は、今回の展開により重要な政府サービスへのアクセスが簡素化されると同時に、パスワード関連の詐欺に対する防御力が強化されると述べています。同氏は、ユーザーがスマートフォンのロック解除に使うのと同じ指紋や顔認証でログインできる点を強調しました。

英国国家サイバーセキュリティセンター(NCSC)は、パスキーをパスワードに代わるより安全な選択肢として支持しています。NCSCは、パスキーが従来の認証情報のように傍受、窃取、使い回しをされることがない点を強調しています。

NCSCの国家レジリエンス担当ディレクターであるジョナサン・エリソン氏は、今回の展開によって国民はより高速かつ安全に政府サービスへアクセスできるようになり、「パスワードにまつわる悩み」が軽減されると述べています。

セキュリティ専門家にとって、今回の展開はFIDO方式の公開鍵暗号技術に基づく、フィッシング耐性のある認証への幅広い流れを象徴する事例と言えます。

こうした技術の進展により、組織における認証情報窃取、パスワードスプレー攻撃、パスワードの使い回し、フィッシング攻撃、SMS傍受のリスクといった脆弱性を最小限に抑えられます。

パスキーはGOV.UK One Loginのユーザーにとってあくまで選択制であり、希望すれば引き続きパスワードを使用することも可能です。しかし英国政府とNCSCは、利用可能な場面ではパスキーの有効化を推奨しており、公共部門のデジタルID関連サービスにおける価値あるセキュリティ強化策としてこの技術を推進しています。

Securitytraining courses

マルウェアやフィッシングの脅威が出現してから24時間以内に、SOCを最新の状態に保ちましょう。 ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。