セキュリティと IT
AVソフトウェアのIT承認を得るには：実践ガイド
AVソフトウェアのITセキュリティレビューで実際に何が確認されるのか、そして一度で承認を得るための準備方法を解説します。
パスワードは、サインインの中で誰もが嫌い、それでいて誰も解決できなかった部分でした。これまでは。パスキーを一言で説明すると、パスワードを生体認証やデバイスによる確認（顔、指紋、PIN）に置き換えるもので、パスワードのようにフィッシングされたり、使い回されたり、データ漏洩で流出したりすることがありません。舞台袖でスマートフォンから、あるいは同僚に手渡したばかりのノートパソコンからサインインするような忙しいチームを運営しているなら、この違いは机上の話ではありません。
この記事では、パスキーとは実際に何なのか、なぜセキュリティチームがこれほど強く推進しているのか、そしてどう有効にするのかを、わかりやすい言葉で説明します。
重要なポイント
- パスキーは、デバイスに紐付いた暗号鍵ペアです。秘密鍵がデバイスの外に出ることはないため、サーバーが侵害されても流出しません。
- パスキーは設計段階からフィッシング耐性を備えており、作成されたサイトそのものに暗号的に紐付けられています。
- Enterprise のチームは、パスキーをシングルサインオンやチームロールと組み合わせて、多層的な ID 管理を実現できます。
パスキーとは実際に何か
パスキーは、アカウントに設定したときにデバイス上で作成される暗号鍵ペアです。片方はデバイスに固定され、顔、指紋、PIN など、すでに使っているロック解除方法で保護されます。もう片方は、サインイン先のサービスに登録されます。サインインでは秘密鍵を持っていることを証明しますが、その秘密鍵も、パスワードに類するものも、どこにも送信されることはありません。
これはパスワードとは根本的に異なる仕組みです。パスワードは共有の秘密です。ユーザーが知っているだけでなく、サーバー側にもそこから派生した情報が保存されるため、サーバー側で侵害が起きると流出するおそれがあります。パスキーはデバイスから出ることがないため、サーバー上には、盗んでなりすましサインインに使えるような情報が何もありません。
パスキーは、FIDO Alliance が推進するオープン標準 WebAuthn に基づいており、主要なブラウザと OS のすべてでネイティブにサポートされています。
サイトがパスキーをどこかに入力するよう求めてきたら、それはパスキーの仕組みではありません。本物のサインイン画面ではなく、フィッシングページを見ている兆候です。
パスワードと違ってパスキーがフィッシングに強い理由
パスワードのフィッシングが成立するのは、パスワードが持ち運べるものだからです。偽のログインページに入力させられれば、攻撃者は本物のコピーを手に入れ、どこででも使えてしまいます。パスキーは、この攻撃そのものを成り立たなくします。
パスキーは、作成されたウェブサイトやアプリそのものに暗号的に紐付けられています。たとえ巧妙な偽のログインページに誘導されたとしても、デバイスはそのページにパスキーを提示しません。偽ページのアドレスが、パスキーの登録先と一致しないからです。間違った場所に入力してしまうパスワードはありません。そもそもパスワードが存在しないからです。
パスキーと他の方法の比較
| 方法 | フィッシング耐性 | 利便性 | 備考 |
|---|---|---|---|
| パスワードのみ | なし | 中 | 使い回し可能、推測可能、漏洩時に流出 |
| パスワード + SMS コード | 部分的 | 低 | SMS は傍受や SIM スワップの危険あり |
| パスワード + 認証アプリ | 比較的高い | 低 | 根本ではフィッシング可能なパスワードに依存 |
| パスキー | あり | 高 | デバイスに紐付き、盗んで転用できるものがない |
パスキーはあらゆるセキュリティ対策の代わりになるわけではなく、チームロールやネットワーク保護も引き続き重要です。しかし、誰がサインインしているかを証明するという役割においては、どれだけパスワードポリシーの研修を重ねても完全には塞げない穴を塞ぎます。何年もパスワードを使い回さないよう呼びかけてきたチームなら、さらに1年呼びかけを続けるより、午後のひとときでパスキーを導入するほうが大きな成果を得られます。
Cliqer アカウントにパスキーを設定する
アカウントへのパスキーの追加は1分もかかりません。
- ダッシュボード → 設定 → セキュリティ に移動します。
- 生体認証サインインを追加 をクリックします（Safari、Chrome、Edge など、ブラウザがパスキーに対応している場合に表示されます）。
- デバイスの案内に従い、指紋、顔、PIN で確認します。
- パスキーが一覧に表示され、以降はパスワードを入力する代わりにパスキーでサインインできます。
デスクトップアプリでも、ペアリング画面で同じ流れが使えます。既存の認証情報で一度サインインしてパスキーを保存すれば、そのデバイスでの以降のサインインは、パスワードもライセンスキーも不要な生体認証になります。Windows では、アプリの設定内での本人確認に、組み込みの Windows Hello の確認画面（顔、指紋、PIN）を使用できます。根本の仕組みは同じです。
パスキーは1つのアカウントに複数登録でき、仕事用のノートパソコンと個人のスマートフォンを使い分ける場合に便利です。同じセキュリティ設定ページから、いつでも削除できます。
これは、Cliqer が WebRTC 上で保護するすべてのものの土台となる認証レイヤーと同じです。パスキーが本人であることを確認し、サインイン後にやり取りされるデータは暗号化が保護します。どちらも重要で、どちらも他方の代わりにはなりません。
チームでのパスキー活用
個人ユーザーにとって、パスキーは利便性の向上です。チームにとっては、最も弱い部分を大きく減らすことになります。チーム内のどこかに共有や使い回しのパスワードがあれば、それは常に存在するリスクです。パスキーは特定のデバイスのハードウェアで保護されたストレージに紐付いているため、同じように共有することはできません。
Enterprise プランのチームは、パスキーをシングルサインオンやチームロールと組み合わせて、多層的に管理できます。強力な個人のサインイン、一元化された ID 管理、そしてサインイン後の範囲を限定した権限です。より広範なソフトウェア審査の一環として強力な認証の必要性を訴えるなら、プレゼンテーションソフトウェアのセキュリティチェックリストとAV ソフトウェアを IT 部門に承認してもらう方法で、その議論の残りをカバーしています。特に機密性の高い資料を扱うチームは、機密コンテンツのプレゼンテーションもあわせてお読みください。役員会議の資料をエンドツーエンドで守る仕組みの全体像がわかります。
よくある質問
日常のサインインには不要です。ただし、Cliqer を含むほとんどのサービスでは、パスキーが入ったすべてのデバイスにアクセスできなくなった場合に備えて、パスワードを予備として残しています。いずれにしても、強力で固有のパスワードにしておきましょう。
パスワードまたは登録済みの別のパスキーでサインインし、セキュリティ設定から紛失したデバイスのパスキーを削除して、新しいデバイスでパスキーを追加します。
いいえ。保存したパスワードは自動入力されるだけで、パスワードであることに変わりはなく、偽のサイトで入力すればフィッシングされるおそれがあります。パスキーは本物のサイトに紐付いた暗号技術を使っており、間違ったサイトに入力することはできません。
パスキーは特定のデバイスの安全なストレージに紐付いているため、基本的には使えません。共有のパソコンではパスワードを使い、日常的に使う自分のデバイスでパスキーを設定してください。
はじめる
ダッシュボード → 設定 → セキュリティ から、1分もかからずにパスキーを有効にできます。パスキーが SSO やチームロールとどう連携するかは、セキュリティの概要をご覧ください。まだ Cliqer をお試しでない場合は、無料でダウンロードして、デスクトップアプリを初めてペアリングするときに生体認証サインインを設定してください。
passkeysauthenticationsecuritypasswordless
こちらもおすすめ
次の本番に役立つセキュリティと itをもっと
次の本番を迎える前に、最新ガイドを受け取る
発表者、AVクルー、イベントチームのための実践的なガイドと、押さえておきたいCliqerのリリース情報をお届けします。スパムは送りません。配信停止はワンクリックです。