Yubicoは、ログイン認証情報を登録する前、そして従業員が鍵やモバイル端末を紛失してアクセスを回復する際に、企業が本人確認を行えるよう支援する新サービスを発表しました。
YubiKey認証デバイスを手がける同社は火曜日、本人確認と認証情報の登録、アカウント回復を結び付けるサブスクリプションサービス「YubiID」を発表しました。現在は限定的なアーリーアクセスの段階です。今週サンフランシスコで初めて開催された同社のユーザーカンファレンス「YubiNation」で明らかにされたこのサービスは、Microsoft Entra、Okta、Pingといった主要なIDプロバイダーと連携し、YubiKeyとスマートフォンの両方への認証情報の登録に対応します。これにより、ハードウェアキーの導入を見送ってきた組織にもYubicoの提供範囲が広がることになります。
今回の発表の背景には、ログインをフィッシング耐性のあるものにするだけでは、もはや十分ではないという認識の広がりがあります。フィッシング耐性があっても、正しい人物が認証情報を受け取ったことや、再発行を求める人物が正当な所有者であることまでは保証できないためです。Yubicoのフィールドcctoを務めるDerek Hanson氏は、先月開催されたFIDO AllianceのAuthenticateカンファレンスで、こうした変化について触れ、ヘルプデスクは「大半の企業で、運用上の管理から、実質的なセキュリティ管理へと変わった」と語りました。
YubicoのCEOであるJerrod Chong氏はDark Readingに対し、社名を明かしていない複数の「大企業」をデザインパートナーとして開発を進めており、YubiIDの一般提供開始は2027年上半期を目指していると述べました。価格は公表されていません。
人事部門とIT部門の間にあるギャップを埋める
Chong氏によると、YubiIDが取り組む課題は、これまで後回しにされてきたものです。つまり、鍵が正しい人物に届いたことや、紛失を届け出た人物が本当に本人であることの確認です。新サービスは基本的な本人確認機能を備えていますが、顧客は自社の確認プロセスを使うことも、他のプロバイダーを利用することもできます。Clear、Nametag、HYPRとの連携も予定されており、対応地域が異なるプロバイダーを組み合わせて利用できるようになります。
多くの企業にとって、これは見慣れた光景です。従業員はオフィスの一角で人事部門に身元を証明し、別の場所でIT部門からログイン用の認証情報を受け取ります。YubiIDはこれらの手順を結び付け、初回の登録でも交換用認証情報の登録でも本人確認を必須とすることで、なりすましの機会を減らします。
FIDO AllianceのエグゼクティブディレクターでCEOのAndrew Shikiar氏はDark Readingに対し、「リカバリーは認証情報管理における非常に弱い部分です」と指摘しました。同氏によると、デジタルIDクレデンシャルを使えば、企業は知識ベースの秘密情報に頼らずに、回復時にユーザーの身元を再確認できます。ただし、リカバリーの課題は技術だけでは解決できません。ポリシー、規制との整合、ユーザー行動の変化、業務プロセスの設計も求められます。
既存のIDサービス利用企業が得られるもの
すでにOkta、Ping、Microsoft Entraに投資している組織にとって、YubiIDは本人確認と認証情報の登録を調整する役割を担い、これらのIDプラットフォームを置き換えるものではありません。Yubicoはこれらのプロバイダー向けに認証情報を登録するコネクターを構築しており、自社開発のIDシステムにも対応しています。
Chong氏は「私たちはIDPになるつもりはありません。競合よりも協業の機会のほうが多いと考えています」と話しました。
実用面での利点は、連携が緊密になることです。組織は、選んだ本人確認プロセスを、従業員がすでに使っているIDシステムでの登録に接続できます。こうした手順を、切り離されたワークフローとして管理する必要がなくなります。複数のIDプロバイダーを運用する企業ではとくに重要です。従業員にとって大切なのは、アカウントをどのプラットフォームが管理しているかにかかわらず、使える認証情報を受け取ることだからです。
たとえば、年末商戦を前に1万人の臨時従業員を受け入れる企業の場合、YubiIDは管理者が立ち会う対面での登録と、リモートでの登録・本人確認の両方に対応できます。本人確認とアクセス設定を結び付ける方法を複数用意できるということです。Chong氏によると、その利点はセキュリティだけでなく運用面にもあります。従業員の本人確認から認証までの間で、分断された手順が減るためです。ただし、時間の短縮効果やヘルプデスク業務の削減幅を示す数値は示しませんでした。関心がとくに高いのは、大規模で分散した、あるいは季節的な人員を抱える組織で、運輸、小売、医療、コンサルティング、グローバルサービスの各業界が挙がっています。
製品が重なるパートナー企業
Yubicoが参入するのは、IDプロバイダーや本人確認の専門企業が、すでにオンボーディングやリカバリーの機能を提供している市場です。Microsoft Entraの検証済みアカウントリカバリーは5月に一般提供が始まっており、従来の手作業によるヘルプデスク対応に頼らず、本人確認によってユーザーのアクセス回復や認証方法の登録を支援します。YubiIDとの連携が予定されているNametagとHYPRも、従業員向けの本人確認・リカバリー機能を販売しています。このほか、Beyond IdentityはNametagの本人確認をパスキーの登録とリカバリーに接続済みで、1Kosmosは本人確認とパスワードレス認証を組み合わせています。
Chong氏は、YubiIDの差別化要因は、特定のIDプロバイダーにワークフローを縛るのではなく、プラットフォームをまたいで本人確認と登録を結び付けられる点だと主張します。Yubicoにはハードウェア事業という強みもあります。多くの顧客の認証情報が保存されるデバイスを、同社自身が製造しているからです。Chong氏は、この経験が、グローバルな従業員に対して鍵を配布し、受取人を確認し、交換用の鍵を登録するという課題に生きると考えています。
ハードウェアは必須ではありません。モバイル端末での認証情報に対応することで、ハードウェアキーの配布が難しいと感じる顧客にも訴求できる可能性があります。こうした顧客も、鍵のセキュリティ上の利点を否定しているわけではありません。Chong氏は、物流面の課題が「時として非常に大きい」だけだと説明しています。
Chong氏は、連邦政府機関が、YubiKeyやモバイル認証器にFIDO認証情報を登録する際に、職員がすでに持つPIV認証情報を使って身元を確認することも可能だと述べました。ただし、そうしたワークフローは将来的に可能になる機能であり、提供開始時点では完全には利用できないと断っています。
耐量子対応キーも登場、ただしベータ版
Yubicoは別途、耐量子対応のYubiKeyについて、公開ベータプログラムを発表しました。このベータ版YubiKeyはNIST標準化済みの耐量子アルゴリズムに対応する予定ですが、具体的なアルゴリズムは明らかにしていません。同社はChromeとFirefoxで初期実装をテストしており、初期版のキーは連邦政府の研究所やハイパースケーラーに提供されています。Yubicoは、ベータテストと顧客からのフィードバック次第としつつ、約1年以内にこのキーをFIPS検証に提出する見込みですが、完了が保証されているわけではありません。
Chong氏は、「暗号アジリティ」を備えているものの、ベータ版デバイスはファームウェアのアップグレードを受けられないと認めました。別のアルゴリズムが必要になった場合は、組織があとでキーを交換しなければならないことになります。同氏は「ウェブ経由で安全にファームウェアをアップグレードするのは、簡単なことではありません」と話しています。
6月に出された大統領令は、政府機関に対し、価値の高い資産や影響の大きいシステムについて、鍵確立を2030年末までに、デジタル署名を2031年末までに耐量子暗号へ移行するよう求めています。ベータ版キーを評価する組織は、新しい暗号方式に加え、デバイスの交換と登録のプロセスもテストする必要があります。
AIエージェントの承認：将来の方向性
Yubicoは最終的に、特定のAIエージェントの動作を本人が承認したことを検証可能な形で証明する機能の提供を構想しています。ただしChong氏は、エージェント承認機能は今回の提供には含まれないと認めました。Yubicoのバックエンドサービス、アプリケーション、ハードウェアキーの組み合わせは追加のユースケースの土台になるものの、現時点でYubiIDが重点を置くのは、人の本人確認、認証情報の登録、リカバリー対応です。
Chong氏は「単純に言えば、私たちはYubiKeyだけのソリューションではなく、エンドツーエンドのソリューションを提供しているのです」と話しました。
