GoogleのFIDO U2Fセキュリティキー対応で認証技術はどう変わる？：Computer Weekly

GoogleはFIDO AllianceのU2F標準のサポートを発表。ChromeとU2F対応USBキーがあればユーザー認証が簡単かつセキュアになる。この動きは他社にも広まるのか？

[Warwick Ashford，Computer Weekly]

　米Googleは同社の2段階認証プロセスで6桁のワンタイムパスワード（OTP）を使用しているが、これに代わるシンプルかつ強力な手段としてUSBセキュリティキーを発表した。

　これまでのテキストメッセージによるOTPには、ユーザーが携帯電話を紛失したときなど、幾つか課題があった。また、ハッカーはユーザーの資格情報やOTPを盗む手段を生み出すことでOTPの使用に対抗している。

Computer Weekly日本語版　12月3日号無料ダウンロード

本記事は、プレミアムコンテンツ「Computer Weekly日本語版　12月3日号」（PDF）掲載記事の抄訳版です。本記事の全文は、同プレミアムコンテンツで読むことができます。

• Computer Weekly日本語版　12月3日号：iPad vs. Windows 8.1　勝者は？

なお、同コンテンツのEPUB版およびKindle（MOBI）版も提供しています。

　Googleのセキュリティキーは、米Fast Identity Online（FIDO）Allianceが公開したユニバーサル2要素認証（U2F）標準の最初のリリースだ。

　FIDO Allianceは米PayPal、中国Lenovo、GoogleなどのIT企業が参加する国際団体だ。同団体は、業界がサポートする標準ベースのオープンプロトコルによるオンライン認証を根本的に変えることを目指している。

　このプロトコルは、強力な認証テクノロジー間の相互運用性の欠如に対処するよう設計されており、ユーザーが複数のユーザー名とパスワードを作成および記憶しなければならないという問題を是正する。

　パスワードの代替手段を導入するこれまでの試みでは、全てのWebサービスが同じ標準を採用することを要求した。専門家によると、これに応じるにはFIDOのメンバーが巨大すぎて失敗したという。

　FIDOの標準は、生体認証などの認証テクノロジー全般をサポートすると同時に、トラステッドプラットフォームモジュール（TPM）、USBセキュリティトークン、エンベデッドセキュアエレメント（eSE）、スマートカード、近距離通信（NFC）などの既存のテクノロジーを強化する。オープンスタンダードの仕様は、拡張可能で将来のイノベーションに対応でき、既存の投資を保護するように設計されている。

　Googleの新しいセキュリティキーは、セキュリティを重視するユーザーにとって優れた保護を提供する。

　パスワードを入力するのではなく、ユーザーは自分のPCのUSBポートにセキュリティキーを差し込み、Google Chromeに表示されるプロンプトをタップするだけだ。

　この方法でGoogleアカウントにサインインしているときは、ユーザーは2段階目の認証でフィッシングを受けないことが保証される。それは、偽のサイトがChromeでGoogleのサインインページの偽装を試みても、セキュリティキーが暗号化署名を提供しないためだ。　また、Google ChromeはFIDO Alliance認証標準のサポートを実装する最初のWebブラウザでもある。FIDOによれば、これは全てのWebサイトが、シンプルかつ強力なFIDO U2F認証をGoogle Chromeのユーザーに導入するきっかけになるという。

　Google ChromeがFIDO U2Fオープンプロトコルを組み込むようになると、アカウントログインシステムを備えた他のWebサイトも、自身のWebアプリケーションにFIDO U2Fのサポートを組み込むことができる。

　「他のブラウザもFIDO U2Fサポートを追加するようになることを目指している」とGoogleセキュリティ製品部長のニシット・シャー氏がブログに投稿している。

　「参加するサイトやブラウザが増えるにつれて、セキュリティを重視するユーザーはFIDO U2Fをサポートする全ての場所で機能する1本のセキュリティキーを持ち歩くだけですむ」と同氏は話す。

　セキュリティキーは、Googleアカウントでは無料で機能する。またユーザーは、テストを受け認可された「FIDO対応」の任意のU2Fサプライヤーから互換性のあるUSBデバイスを直接購入できる。

　「当社はFIDO Allianceに参加し、GoogleやChromeにFIDO U2Fサポートを導入したことを喜んでいる」とGoogleの製品管理部長でもあり、FIDO Alliance委員会のメンバーでもあるサムパス・スリニバス氏は語っている。

　FIDO Allianceの代表を務めるマイケル・バレット氏は、Googleの動きを歓迎した。「PayPal、韓国Samsung、中国AliPay、米Nok Nok Labs、米Synapticsの決済アプリケーションにFIDO認証標準が大規模に採用されたことと、GoogleがFIDO U2F認証への対応を発表したことにより、新たな時代に入ったことは間違いない」と同氏は話す。

　「われわれは、ユーザーやプロバイダーを第1要素のパスワードから、より安全で使いやすくプライベートなFIDO認証に移行し始めている」とバレット氏は続ける。

　FIDO U2Fに対するブラウザサポートは、高いセキュリティの公開鍵認証を巨大市場に拡大する大きな一歩として歓迎されている。

　「U2F対応のデバイスにより、GoogleアカウントやFIDO U2Fをサポートするサービスに幾つでもログインできるようになる。ドライバやクライアントソフトウェア、ミドルウェアは必要ない」とUSBセキュリティキーのメーカー米YubicoのCEO兼創設者のスティナ・エレンスバード氏は語る。

　FIDO Allianceによれば、複数のメンバーがGoogleのセキュリティキー機能と今後のFIDO U2Fへの対応に連携するFIDO準拠のデバイスの製品ラインを発表しているという。こうしたFIDO準拠のデバイスにより、オンラインサービスプロバイダー、一般企業、ユーザーがFIDO U2F認証を利用できるようになる。

　「ユーザーや企業が広範に相互運用可能で強力な認証製品を選択できるようになることは、FIDO Allianceの品質証明になる」と同団体は声明の中で発表している。

　FIDO Allianceによると、Google以外にも米Duo Security、南アフリカEntersekt、独Infineon、蘭NXP、Nok Nok Labs、仏Plug-up International、スイスST Microelectronics、米Sonavation、米StrongAuth、米SurePassID、YubicoなどのサプライヤーからFIDO準拠のデバイス、認証アプリ、オープンソースソリューション、サーバを入手できるという。

Computer Weekly日本語版　F1特集号（転載・再配布フリー）も公開中！

あまり報じられることのない、F1の世界で活用されているIT事情を事例やインタビューを通して紹介。ロータス、マクラーレン、メルセデス、ケータハムのクラウド、ビッグデータ、ファイル共有戦略とは？

• 別冊Computer Weekly　F1チームを支えるIT

※本PDFは、TechTargetジャパン会員でなくても無料でダウンロードできます。