フィッシング耐性のあるMFAとは｜OTP・プッシュ通知・FIDO2の違い

フィッシング耐性は、利用者を偽の認証先へ誘導しても、その相手が正規サービスへの認証に使える情報を得にくい性質を指します。手入力するワンタイムパスワードは有効な追加要素ですが、偽サイトを介して正規サイトへ中継される可能性があるため、MFAという名称だけでフィッシング耐性ありとは判断できません。

FIDO2の認証は認証先との結び付きを使い、この中継の問題に対処します。ただし認証の方式だけで、端末の侵害、利用中のセッション、復旧手順の悪用まで全て防げるわけではありません。組織で導入する場合は、新しい認証器の登録、紛失時の復旧、使えない端末、代替方式の許可も含めて設計します。

正規の学習サイトを https://learn.example、似た表示の偽サイトを https://learn-example.test として比較します。説明用の予約済みドメインです。手入力OTPでは、利用者が偽サイトへ入力した有効なコードを、その場で正規サイトへ中継される可能性があります。「1回限り」と「偽の相手に使われない」は同じ性質ではありません。

WebAuthnでは、資格情報を使えるRP ID（認証先のドメイン識別子）と、実際のWebページのoriginを結び付けて扱います。正規のRP IDをlearn.exampleとする場合、learn-example.testのページは、その正規サービス用の資格情報を自分のものとして利用できません。利用者が似た見た目を見分ける注意力だけに頼らない点が、手入力OTPとの違いです。

1. 11 登録した鍵：RP IDに対応する資格情報を使う
2. 22 今回の要求：challengeとoriginを応答へ結び付ける
3. 33 サーバーで検証：challenge・origin・RP IDのハッシュ・署名等を確認する

challengeだけでも、HTTPSの表示だけでも、認証先との結び付きの代わりにはならない。

NISTのフィッシング耐性とW3C WebAuthnの認証応答の検証を参照した整理です。適切なブラウザとサービス側の検証が前提で、端末の侵害や認証後のセッション窃取まで防ぐという意味ではありません。パスキー・FIDO2・認証要素そのものの違いは用語の整理へ、通知の繰り返し承認はMFA疲労への対応へ進んでください。

NISTの認証指針に示された要求は、全企業への日本の法的義務ではありません。方式の性質を学び、自組織の要求と利用環境に照らして選びます。

重要なアカウントから対象を選び、利用者の登録と復旧を試します。サポート担当の本人確認や失効処理も、通常のログインと同じ目的で見直します。

設定済み、利用可能、実際に利用された方式を分けて残します。導入率を示す時も、重要操作への適用範囲を説明してください。

パスキーには同期や端末固定など運用上の違いがあり、組織が必要とする管理と利用性を確認します。FIDO2という名称だけで同じ登録・復旧手順になるとは限りません。複数端末、退職、認証器の紛失を含め、誰がどの方式を使えるかを一覧にします。

正規の認証を強くしても、サポート窓口で弱い本人確認だけで解除できると迂回路が残ります。利用者が困った時の復旧を用意しながら、解除の根拠と承認、記録を保ちます。ログインの強さと復旧の強さを一緒に評価します。

サイバーセキュリティの学習ガイドで、このテーマを認証・端末とアクセス管理の中に位置付けてください。関連する前提はパスキー・FIDO2・多要素認証とは、MFA疲労攻撃への対応で確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。