パスキーのセキュリティについて
これからは、パスワードに代わってパスキーをお使いください。すばやくサインインできて使い方も簡単。そして何より、セキュリティが一段と強化されます。
パスキーはパスワードに代わるものとして設計されました。Web サイトやアプリにパスワードなしでサインインできるようになり、便利なだけでなく安全面も強化されます。パスキーは標準に即したテクノロジです。パスワードとは違い、フィッシング詐欺対策に優れ、常に強力で、シークレット (秘密) を共有しない設計になっています。アプリや Web サイトに簡単にアカウント登録できるようになる上、簡単に使えて、すべての Apple 製デバイスで横断的に機能します。実際に近くにあれば、Apple 製以外のデバイスでも使えます。
資格情報のセキュリティ
パスキーは、公開鍵暗号化を用いる WebAuthentication ("WebAuthn") 標準に則って開発されています。アカウントの登録中に、オペレーティングシステムは一意の暗号化鍵のペアを作成し、該当するアプリや Web サイトのアカウントと紐付けます。これらの鍵は、アカウントごとにデバイスによって安全かつ一意に生成されます。
鍵ペアの片方が公開鍵で、これはサーバ上に保管されます。この公開鍵はシークレット (秘密) ではありません。もう片方が秘密鍵で、実際にサインインする際にはこれが必要です。秘密鍵が何かサーバ側が知ることはありません。Touch ID または Face ID に対応した Apple 製デバイスでは、Touch ID や Face ID でパスキーの利用を承認でき、それを受けて、アプリや Web サイトに対してユーザの本人確認が行われます。共有のシークレットが転送されることもなく、サーバが秘密鍵を保護する必要もありません。そうしたわけで、パスキーは非常に強力かつ使いやすい、フィッシング詐欺対策に秀でた資格情報になるのです。また、プラットフォームベンダーが FIDO Alliance の枠組の中で連携し、パスキーの実装をクラスプラットフォーム対応にし、できるだけ多くのデバイスで使えるよう努めています。
同期のセキュリティ
パスキーの設計にあたっては、便利であること、かつすべてのデバイスから習慣的に使えることを目標に掲げました。パスキーは、ユーザの複数のデバイス間で iCloud キーチェーンを使って同期されます。
iCloud キーチェーンは、強力な暗号化鍵でエンドツーエンドで暗号化されます。この暗号化鍵を Apple が知ることはなく、また、レート制限によって総当たり攻撃を (たとえクラウドバックエンド上の特権を持つ地位からの攻撃でも) 阻止し、万一ユーザがデバイスをすべてなくしてしまった場合でも鍵の復旧が可能です。
Apple では、たとえ以下のような状況に陥った場合でも、ユーザのパスキーとパスワードが保護されるよう、iCloud キーチェーンとキーチェーン復旧を設計しています。
ユーザが iCloud で使っている Apple Account が不正利用された
iCloud に外部の攻撃者や従業員が不正アクセスした
第三者がユーザのアカウントにアクセスした
Apple Account へのアクセスの保護
不正アクセス対策として、iCloud キーチェーンを使う Apple Account では 2 ファクタ認証が必須となります。ユーザが新しいパスキーを登録しようとした際に 2 ファクタ認証が設定されていないと、2 ファクタ認証を設定するよう自動的に誘導されます。
新しいデバイスにはじめてサインインする際には、Apple Account のパスワードと 6 桁の確認コードという、2 つの情報が必要です。確認コードは、ユーザが信頼しているデバイスに表示されるか、信頼できる電話番号に送信されます。
iCloud キーチェーンへのアクセスの保護
ユーザの iCloud キーチェーンにアクセスしようとする不正デバイスから守るため、さらに一層のセキュリティ対策がなされています。ユーザが iCloud キーチェーンをはじめて有効にする際、デバイスはトラストサークル (信頼関係の環) を構築し、そのデバイス用の同期 ID (デバイスのキーチェーンに保管された一意の鍵のペアから成る身元確認情報) を作成します。
新しいデバイスは、iCloud にサインインした際に、iCloud キーチェーンの同期サークルに以下の 2 つのうちいずれかの方法で参加します。
既存の iCloud キーチェーンデバイスとペアリングし、その既存デバイスに身元を保証してもらう。または、
iCloud キーチェーンの復旧を使う。
復旧のセキュリティ
パスキーを同期すれば、便利なだけでなく、デバイスを 1 台紛失した場合に備えて冗長性も確保できます。ただし、たとえ紐付けたデバイスをすべて紛失してしまった場合でも、パスキーを復旧可能にしておくことも重要です。パスキーは iCloud キーチェーンのエスクローを通じて復旧が可能です。これは、総当たり攻撃への対策にもなります (たとえ Apple からの攻撃だとしても阻止できます)。
iCloud キーチェーンは、ユーザのキーチェーンデータを Apple にエスクロー (供託) しますが、Apple がパスワードやそこに含まれるその他のデータを読み取ることはできません。ユーザのキーチェーンは強力なパスコードで暗号化され、エスクローサービスは、厳しい一連の条件が揃った場合にのみキーチェーンのコピーを提供します。
キーチェーンを復旧するには、ユーザが iCloud アカウントとパスワードで本人確認をし、登録済みの電話番号に送信された SMS に反応する必要があります。認証と反応を済ませたら、今度はデバイスのパスコードの入力が必要です。iOS、iPadOS、macOS では、認証を試せるのは 10 回だけです。何回か試して失敗すると、レコードがロックされてしまうので、ユーザは Apple サポートに電話して、残りの試行回数を認めてもらう必要があります。合計で 10 回失敗すると、エスクローレコードは破棄されます。
任意設定ではありますが、アカウント復旧用の連絡先を設定しておけば、たとえ Apple Account のパスワードやデバイスのパスコードを忘れてしまっても、アカウントにいつでもアクセスできるようになります。
アカウント復旧用の連絡先の設定方法については、こちらの記事を参照してください
関連情報
Apple Account のセキュリティと iCloud キーチェーンのセキュリティについて詳しくは、「Platform Security」ガイドを参照してください
