ウェブサイトにログインするたびにアカウントとパスワードの組み合わせがわからなくなり、途方に暮れて「パスワードを忘れた場合」をクリックする──。そんな人たちにとって、「Googleでログイン」や「Facebookでログイン」のボタンは命綱のように見えるかもしれない。このサーヴィスを使えば、いちいちアカウントを設定して新しいパスワードを登録しなくても、既存のアカウントを用いて簡単にログインできるからだ。
この「シングルサインオン（SSO）」機能は確かに便利で、ある程度のセキュリティ上のメリットはあるも。しかし、誰もが思うような“万能薬”ではない。
大手IT企業が提供するシングルサインオンの仕組みには、明らかなメリットがいくつかある。例えば、豊富なリソースをもつ企業によって開発・保守されているので、強力なセキュリティ機能が組み込まれている。アップルが提供する「Appleでサインイン」なら、指紋認証の「Touch ID」や顔認証の「Face ID」で多くのサイトにログインできる。
シングルサインオンの重要な欠点
だが、いくら便利であったとしても、こうした一般ユーザー向けのシングルサインオンには重要な欠点もいくつかある。シングルサインオンに使っているアカウントのパスワードやアクセストークンが盗まれたら、これを使ってログインしたほかのサイトもすべて危険に晒されてしまうのだ。
それに、シングルサインオンを提供している企業が、自分のプライヴァシーとセキュリティを守ってくれていると信じるしかない。また、シングルサインオンの選択肢を提供している第三者のウェブサイトすべてが、これを正しく実装していることも信じるしかない。
「これは難しい問題なのです」と、リスク管理とセキュリティを専門とするLeviathan Securityのシニア・セキュリティ・アドヴァイザーのウェンディ・ノックス・エヴァレットは指摘する。「人々がうまくサイトごとにパスワードを変えられるようであれば、おそらく第三者のサイトで1回限りのアカウントをつくることは理にかなうでしょう。しかし、人々は同じパスワードを使い回します。ですから意見を述べるとすれば、『状況によって異なる』というものです」
よく使うパスワードのひとつが知られてしまったら、そのパスワードで保護していたすべてのアカウントが、パスワードを流用した攻撃の一種であるクレデンシャルスタッフィング攻撃（パスワードリスト型攻撃）やフィッシングの餌食になる可能性がある。こうした状況に陥らないようにするには、パスワードマネージャーのアプリを利用するのが最善の方法だ。どこで必要になっても、強力で安全なパスワードを作成してくれる。
関連記事：パスワード管理ツールを導入するなら、いまが「最高のタイミング」と言えるワケ
悪意ある人物にデヴァイスの管理権限を奪われたり、唯一無二のマスターパスワードを盗まれたりしたら、パスワードマネージャーもシングルサインオンと同じように単一障害点になる可能性はある。しかし、パスワードマネージャーなら、シングルサインオンの設定とは異なり、ウェブ上のあちこちに存在するサーヴァーなどに自分のセキュリティを任せる必要がない。
浮き彫りになったリスク
こうしたシングルサインオンに固有のリスクは、単なる仮定の話ではない。フェイスブックは2018年9月、大規模なデータ漏洩が発生したことを公表している。
関連記事：Facebookの5,000万人分の情報流出について、知っておくべきこと
この情報流出によって少なくとも5,000万ユーザーが影響を受け、なかでもログインにFacebookのシングルサインオンを使用していたユーザーのほかのアカウントが流出したという。フェイスブックは情報流出を検知した時点でアクセストークンを無効にしたが、この事態によって一般ユーザー向けのシングルサインオンの問題には波及効果があることがはっきりした。
18年に実施されたある調査では、95のウェブサーヴィスとモバイルサーヴィスで、一般ユーザー向けシングルサインオンの実装方法に多数のミスがあることが判明している。10を超えるサイトでは、ログインしているユーザーがパスワードを再入力しなくても、アカウントに関連づけられているメールアドレスを変更できたという。
例えば、図書館のコンピューターでアカウントにログインしたまま席を離れたり、Facebookのアクセストークンが流出したりすれば、悪意ある人物によってアカウントが乗っ取られる可能性がある。このほか、ハッカーになりすまし攻撃を仕掛けるチャンスを与えるような方法でシングルサインオンを実装しているサイトが、多数あったという調査結果も出ている。
イリノイ大学の研究者で、この調査報告の執筆者のひとりであるジェイソン・ポラキスは次のように説明している。「全体的に言えば、わたしは一般ユーザー向けシングルサインオンという仕組みには反対です。単一障害点になるだけでなく、従来のパスワードによる認証では実行できない攻撃を可能にしてしまうからです。現在のパスワードマネージャーは十分に成熟しています。ユーザーにパスワードマネージャーについて教育し、積極的に利用するよう求めていいほど使いやすくなっていると思います」
エピックvsアップルの教訓
多くの一般ユーザー向けシングルサインオンの仕組みには、アカウントの復元に関する実用上の問題もある。例えば、Twitterのアカウントを使って写真保存プラットフォームにログインして、数年後にTwitterアカウントがわからなくなってしまったとしよう。この場合、Twitterと写真サイトのどちらにトラブルの解決をサポートする責任があるのか、判断は難しい。写真サイトへのログイン手段を復元する方法がないという事態も起こりうる。
こうした問題が今年9月に実際に生じた。ゲーム会社のエピック・ゲームズがユーザーに対し、「Appleでサインイン」を提供するエピックの機能をアップルが無効にする予定であると警告したのである。
アップルは8月、ゲーム内での課金と販売手数料を巡る問題が法廷闘争に発展したことを受けて、エピックのゲーム「フォートナイト」を「App Store」から削除し、同社の開発者アカウントを停止した。このためエピックは、ユーザーが別のログイン方法に移行できるツールを大急ぎで用意し、ユーザーが二度とアクセスできなくなる事態を回避しようとしたのである。
最終的にアップルは、エピックの「Appleでサインイン」の利用権限を延長し、今後も無効にするつもりはないという。しかし、この事態によってアカウントへのアクセスに第三者を介入させることの欠点が浮き彫りになった。
いずれにしても、はっきりしていること
平均的なネットユーザーなら、パスワードマネージャーとシングルサインオンのどちらを使うか判断する際には、気が遠くなるほど多くの要素が関係してくると感じることだろう。いずれにしても2要素認証を使えばアカウントの安全性は強化され、フィッシングの被害も受けにくくなる。これは2番目の認証要素の追加先が個人のアカウントでも、シングルサインオンに使っている最重要のアカウントであっても変わらない。
「どちらかがより優れていると断言することはできません。それぞれの企業がユーザーの認証情報を社内でどのように管理しているかについて、すべてを詳しく知ることはできないからです」と、クラウドセキュリティ企業の2nd Sight Labの最高経営責任者（CEO）であるテリ・ラディチェルは説明する。「それに家庭から利用しているユーザーには、程度の差こそあれ安全なホームネットワークがあります。パスワードマネージャーも、それなりに安全です。それでもわたしなら、自分のパスワードの管理すべてを1カ所に委ねるようなことはしません」
そうは言っても、ささいな違いを気にしている時間もエネルギーもなく、ましてや複数のパスワードを異なる方法で管理することなど無理だと考える人は、パスワードマネージャーを選ぶといい。これひとつでこと足りるし、特定のサイトがシングルサインオンを提供しているかどうかに関係なく、いつでも役に立つ。
いずれにしても、はっきりしていることがある。それはパスワードを使い回さないことだ。とにかくそれだけは肝に銘じてほしい。
※『WIRED』によるパスワードの関連記事はこちら。
RELATED ARTICLES
INFORMATION
限定イヴェントにも参加できるWIRED日本版「メンバーシップ」会員募集中！
次の10年を見通すためのインサイト（洞察）が詰まった選りすぐりのロングリード（長編）を、週替わりのテーマに合わせてお届けする会員サーヴィス「WIRED SZ メンバーシップ」。限定イヴェントへの参加も可能な刺激に満ちたサーヴィスは、1週間の無料トライアルを実施中！ <br> >詳細はこちら
"確かに" - Google ニュース
October 24, 2020 at 09:30AM
https://ift.tt/2HtGGLo
ウェブサイトに簡単にログインできる「シングルサインオン」機能には、メリットだけでなく“弱点”もある - WIRED.jp
"確かに" - Google ニュース
https://ift.tt/2UI1i6X
Shoes Man Tutorial
Pos News Update
Meme Update
Korean Entertainment News
Japan News Update
No comments:
Post a Comment