英国政府はGOV.UK One Loginにおけるパスキー認証の展開を開始し、パスワードレスサインイン機能を2300万人以上のユーザーに拡大することで、フィッシングによるアカウント侵害への防御力を強化しています。
9月14日に発表されたこの取り組みにより、国民は指紋、Face ID、または端末のローカルPINで認証されるデバイスベースのパスキーを使って政府サービスにアクセスできるようになります。
このサービスは、保育サービス、税務管理、国家年金の確認、運転免許証の更新など、対象となる公共プラットフォームの範囲を拡大しています。
従来のパスワードとは異なり、パスキーはユーザーのデバイスと正規のウェブサイトまたはアプリケーションの両方に紐付けられた暗号鍵です。
この仕組みにより、攻撃者が資格情報収集メールや 中間者フィッシングキット、偽のログインポータル、パスワードスプレー攻撃、クレデンシャルスタッフィング攻撃を通じて狙う「使い回し可能な秘密情報」そのものがなくなります。
政府によると、パスキーによるサインインは、ユーザー名・パスワード・ワンタイム二段階認証コードを用いる従来のログインフローと比べて最大8倍の速さになるとしています。初期トライアル期間中には30万人以上がこの技術を採用しており、より広範な展開への道筋が整いました。
GOV.UK One Loginにおける1日あたりの認証のうち、すでに10件に1件近くがパスキーで完了しています。この移行は運用コストの削減にもつながっており、政府はSMS認証コードへの依存が減ったことで、納税者の負担を1日あたり約600ポンド節約できているとしています。
パスキーは、パスワードおよびSMSベースの多要素認証が抱えるいくつかの本質的な弱点に対処するよう設計されています。パスキーはユーザー、ウェブサイト、ブラウザ、あるいは遠隔の攻撃者に対してパスワードそのものを一切露出させません。
その代わりに、デバイスが正規サービスのドメインを検証したうえで、秘密鍵を使ってログイン要求を承認する仕組みになっています。
このオリジン(発行元)に紐付いた認証モデルにより、なりすましのGOV.UKサイトを運営する攻撃者であっても、本物の政府ドメインに対する有効なパスキー認証を成立させることはできないはずです。
たとえ被害者が偽のページへのアクセスを誘導されたとしても、盗み取れるパスワードや使い回し可能なSMSコードは存在しません。
認証情報のロック解除に使われる生体情報も、本人のスマートフォン、コンピューター、またはセキュリティ機能を備えたデバイス上にとどまります。GOV.UK One Loginがユーザーの指紋、顔認証データ、デバイスPINを受け取ったり保存したりすることはなく、生体情報を一元管理するリポジトリに伴うプライバシー上のリスクが軽減されています。
デジタル政府担当大臣のステファニー・ピーコック氏は、パスキーによって重要な公共サービスへのアクセスが迅速になると同時に、パスワードを狙う詐欺師に対する防御も強化されると述べています。
英国国家サイバーセキュリティセンター(NCSC)は、傍受や再利用、盗難に対する耐性を理由に、パスキーをパスワードよりも安全な代替手段として推奨しています。
この技術は、公共部門・民間部門を問わずデジタルサービス全体でフィッシング耐性の高い認証方式への移行を後押しするものです。
NCSCの国家レジリエンス担当ディレクターであるジョナサン・エリソン氏は、サイバー犯罪者が重要なアカウントへの侵入経路としてログイン資格情報を狙い続けていると指摘しています。同氏は、アカウント乗っ取りへの全体的な耐性を高めるため、利用可能な場合はパスキーを有効化するようユーザーに呼びかけました。
パスキーの導入を望まないユーザーは、引き続きパスワードでサインインを続けることができます。ただし、この機能を有効にしたユーザーは、複雑なパスワードを記憶したりSMS認証コードを待ったりする必要がなくなり、デバイスにすでに組み込まれているセキュリティ制御をそのまま活用できます。
脅威対策の観点から見ると、この導入はフィッシングに弱い認証方式から、暗号技術に基づきデバイスを介して行う本人確認方式へと移行する、国家レベルでの注目度の高い転換を象徴するものです。
16,000以上の組織から得られる最新のインテリジェンスで、脅威の検出率を58%向上。TIフィードを統合することで、SOCを強化しましょう
翻訳元: https://cyberpress.org/uk-government-enables-passkey-login-for-23-million-users/
