パスキーちゃんと運用できてますか？

こんにちは。ドルフィンシステム福島です。

今日はちょっとSDRから離れた話題です。

銀行や証券会社では、ここ最近パスキーを必須とするサービスが増えてきました。フィッシング対策の一環として進められているもので、パスワードの漏えいやフィッシングによる不正ログインのリスクを下げられます。

公開鍵暗号を使ってパスワードなしでWebやアプリにログインする認証の仕組み、といえば良いのでしょうか？パスキーの分かりやすい説明は以下のURLからどうぞ。

パスキーとは？ 注目のパスワードレス認証「パスキー」導入ガイド

パスキー自体は2～3年前から展開されていて、私もMercariアプリか何かで導入したのですが、「安全そうだけど認証に失敗したことがある」という不可思議な経験をして以来、どうも苦手で放っておきました。しかし金融機関でパスキー以外の認証が認められなくなると聞いて、重い腰を上げました。

パスキーの問題点

パスキーには大きなメリットがある。パスキーを導入すればIDやパスワードの管理から解放されるし、フィッシングからも解放され、証券口座に勝手にログインされ株を売買されるようなリスクも減ります。

正確には、パスワードの漏えいや偽サイトへの入力による不正ログインを防ぎやすくなる、ということだ。端末やパスキーの保存先を安全に管理する必要がなくなるわけではない。

しかしそうは問屋が卸さないのがパスキーだ。

パスキーを利用するための、

  • OS / デバイス
  • アプリ / ブラウザ
  • パスワード保存先
  • サービスの対応

これらの組み合わせによって正常にログインできないことがあるし、その組み合わせのパターンは利用するサービス（銀行や証券会社、Mercariなどのアプリ）によってバラバラなのだ。

例えば以下の画像は楽天証券にWindowsでパスキーを利用する推奨環境だが、この一枚の画像から何を読み取れるだろうか？よく考えてほしい。

通常なら「Windows 11で、Chromeかedge, firefoxなら良いんだね。じゃあ大丈夫」という理解ではないだろうか？少なくとも私はそうだった。

しかしそれでは読みが甘く、

  • パスキー保存先がWindows Helloということは、保存したパスキーはそのPCに保存されるので、他のPCでパスキーを同期するようなことは出来ない
  • EdgeでMicrosoft アカウントと連携して利用していれば、EdgeのパスキーはMicrosoftパスワードマネージャーに保存され、他のPCでもパスキーを利用できる場合がある。しかし、※の文に推奨していないと書かれている理由は、この画像だけでは分からない。同期されたパスキーが技術的に使えないのか、楽天証券の動作確認・サポート対象外という意味なのかは、楽天証券への確認が必要だ。

となる。

これがパスキーの問題点だ。ユーザ自身が、

  • 使用しているブラウザ
  • パスキー保存先

を意識することを求められ、これがサービス毎に異なるのだ。

福島のパスキー運用方法

パスキーの保存先をどうするか？

パスキーの保存先は大きく分けて以下の3つです。

  1. Windows Helloなどのデバイス自体に保存する
    • PCに保存するため同期はしない
  2. パスワードマネージャー
    • Googleパスワードマネージャー
    • Microsoftパスワードマネージャー
    • iCloudパスワード
  3. その他のサービス
    • 1PasswordやKeePassXCなど

デバイス自体に保存する方法は、デバイスが固定されるので分かりやすいですが、壊れてしまった場合にそのパスキーを使えなくなるので不安です。やはり2.のパスワードマネージャーにパスキーを保存することにしています。MicrosoftとGoogleの2つのアカウントを作成し、GoogleパスワードマネージャーとMicrosoftパスワードマネージャーの双方にパスキーを登録して保存しています。片方のパスワードマネージャーにアクセスできなくなっても、もう片方からログインできるようにするためです（ここで登録しているのは、同じ秘密鍵を2か所にコピーしているという意味ではありません。同じサービスのアカウントに対して、Googleパスワードマネージャー用とMicrosoftパスワードマネージャー用に、それぞれ別のパスキーを登録しています）。

パスキーを運用するデバイス

私は新しいスマホを購入した場合、古い方は自宅など安全な場所で使っていてメインスマホと同じアプリをインストールして不測の事態に備えています。スマホをなくしてお金を動かせない！というのは避けたいので、少し古いスマホの用途としてはとてもいいです。

またスマホに頼り切りにはなりたくないので、自宅PCからも確実にログインできる環境を整えてあります。

  1. メインスマホ
  2. サブスマホ
  3. PC

の3つから確実にログインできる環境を構築しています。

パスキーを登録する

パスキーが必要な金融機関やサービスをリストアップし、それぞれにメインスマホ、サブスマホ、PCでログインし、GoogleパスワードマネージャーとMicrosoftパスワードマネージャーの双方にパスキーを登録していきます。最初の手順は以下のとおりで、最初はパスキーが登録されていないので、多要素認証でログインすることになります。

  1. PC（Windows）のChromeでID/パスワードでログイン
  2. メールやSMSの多要素認証でログイン完了
  3. PCのChrome（Googleパスワードマネージャー）にパスキーを登録する
  4. ログアウトする
  5. PC（Windows）のEdgeでID/パスワードでログイン
  6. メールやSMSの多要素認証でログイン完了
  7. PCのEdge（Microsoftパスワードマネージャー）にパスキーを登録する
  8. ログアウトする

で、実際にログインできるかを確認してみます。サービスによってはパスキーの登録は出来たが、パスキーでログインできないなどがあるため、全部の組み合わせでログインできるかどうかを確認しメモしておきます。

このようにして順繰りにパスキーを各パスワードマネージャーに登録していき、各サービスのログイン可能な組み合わせをメモしていきます。以下は楽天証券の例です。

楽天証券

  • Windows
  • Edge→MSパスワードマネージャーのパスキーでログインNG
  • Edge→Pixel9でQR読み込み→GPMのパスキーでログインOK
  • Edge→Pixel7でQR読み込み→GPMのパスキーでログインOK

※QR読み込みは、PCに表示されたQRコードをPixelで読み取ってPixel側のパスキーを使う、クロスデバイス認証です。

コメント

コメントを投稿