岐路に立つ「多要素認証」、弱点を補う解決策とは

多要素認証を破るサイバー攻撃が目立ってきた。どうすれば攻撃に強い多要素認証を実現できるのだろうか。

公開 2022年11月16日 07時03分

著者

Matt Kapko

[Cybersecurity Dive]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

　多要素認証（MFA：Multi Factor Authentication）は、サイバー攻撃に対して無力になる場合がある（注1）。米国では広く知られた企業のサービスでもMFAが破られた。もはやMFAは無意味なのだろうか。どうすれば弱点を補うことができるのだろうか。

多要素認証の弱点を補う方法とは

　MFAの弱点を補う方法の一つが「フィッシング耐性MFA」だ。

　平たく言えば、フィッシング耐性MFAとはテキストメッセージや電子メールで送信されるワンタイムパスコードを「利用しない」MFAのことだ。

　「フィッシング耐性」という用語は、秘密鍵と公開鍵の非対称ペアの他、Web認証API（WebAuthn）仕様、生体認証、FIDO2標準などの暗号技術に依存する認証モードとして定義されている。

　攻撃者から見れば、フィッシング耐性を持たないMFAは容易に回避できる。サイバーセキュリティの専門家によれば、フィッシング耐性がないMFAは「壊れて」おり、せいぜい単一要素認証（例えばパスワードのみを使う）よりはましな程度だという。

　JupiterOneのCISO（最高情報セキュリティ責任者）兼リサーチ責任者のスニル・ユー氏は、電子メールで次のように指摘した。

　「フィッシングはその定義からして、ユーザーとのインタラクションを必要とする。従って、ユーザーのインタラクションを最小限に抑えるか、完全になくするMFAが最もフィッシングに強いといえる」

　ユーザーの操作を必要としないMFAであれば、フィッシングに強いということだ。認証されたデバイスでのアクセスを証明するデバイス証明書やオリジンバインディング、ハードウェアセキュリティキーなどの高度な制御を用いることで、これまでのMFAで起こっていたようなフィッシングを排除できると、ユー氏は言う。

認証の方程式から人を排除する

　フィッシング耐性MFAの目的は、IDベースの攻撃を回避することだ。だが、サイバーセキュリティに万能策はない。企業はフィッシング耐性を無謬性と混同してはならない。

　Corvus InsuranceでCISOを務めるジェイソン・レブホルツ氏は電子メールで次のように意見を述べた。

　「ユーザーは常に企業のセキュリティの重要な要素だが、（攻撃者が付け入る隙のある）唯一の要素ではない。フィッシング攻撃を防ぐためにユーザーに依存する企業は失敗するだろう」

　Twilio（注2）やCisco Systems（注3）、Uber Technologies（注4）などに対する2022年のフィッシング攻撃が成功したのは、人間が関与し、攻撃者にだまされたためだ。

　Futurum Researchのシニアアナリスト兼リサーチディレクターのロン・ウェストフォール氏は、「最新のフィッシング攻撃は、メールやテキストのMFAに関連して、回避や操作がより困難な生体認証ビジネスを強化している」と述べる。

フィッシング耐性MFAには種類がある

　フィッシング耐性MFAは、多くの最新のサイバーセキュリティ対策と同様に、ゼロトラストの原則とアーキテクチャの下にある。

　米国立標準技術研究所（NIST：National Institute of Standards and Technology）のデジタルアイデンティティーガイドライン（Digital Identity Guidelines）（注5）では、3つの認証保証レベルを定めている。最高レベルのAAL3は、暗号プロトコルを使用したハードウェアベースの鍵を必要とする。

　ハードウェアベースの鍵によるFIDO2とWebAuthn認証は、レベル3のフィッシング耐性MFAの形態として最もよく挙がる。

　どちらの規格も、USBセキュリティキーやユーザーが所持するデバイス、クレデンシャル管理APIなどの外部認証機関と結び付いた強力な暗号によって、パスワードに代わることを目指している。

　しかし、望ましい結果を得るためにはハードウェアやソフトウェアをそろえて設定しておく必要がある。さらに認証のための標準が普遍的にサポートされていなければならない。