読み物の一覧 · 論考

「ログイン済みだから本人だろう」で通してよい操作、よくない操作

セッションの記録で足りる操作と、署名が要る操作の線を、取り消せるか、誰が損をするか、あとで争いになるかの三つで引きます。

ログインが示すもの

ログインが示すのは、そのセッションが、ある時点で認証を通ったことです。その後の操作をしたのが同じ人かは示しません。

セッションは、Cookie やトークンとして、ブラウザの中に残ります。盗まれれば、別の端末から同じセッションとして操作できます³。そのとき、サービスの記録には、本人が操作したように残ります。

だから、すべての操作に署名を求める必要はありませんが、すべての操作をログインだけで通してよいわけでもありません。線を引くことになります。

線を引く三つの問い

1. 取り消せるか。間違えても、あとから戻せる操作か。設定の表示の切り替えは戻せます。送金や公開や削除は戻せません。
2. 誰が損をするか。損をするのが操作した本人だけか、ほかの人や会社か。他人に権限を渡す操作や、他人のデータに触れる操作は、本人だけでは済みません。
3. あとで争いになるか。「それは自分ではない」と言われたとき、記録で示す必要がある操作か。お金、権限、同意、契約に関わる操作は、争いになりえます。

三つのうち一つでも当てはまれば、セッションの記録だけで済ませない候補です。

当てはめた例

「再認証」は、もう一度ログインの手続を通してもらうことです。操作の直前に本人がいることは確かめられますが、何に同意したかは記録に残りません。「署名」は、操作の内容に結び付けて記録を残します。

業界の指針も同じ線を引いている

OWASP の認証のチートシートは、パスワードやメールアドレスの変更、取引など、影響の大きい操作の前に再認証を求めることを勧めています¹。

EU の決済の規則は、遠隔の操作で不正のおそれがある操作に、強い顧客認証を求めています²。決済に限った規則ですが、「ログインしていても、操作の前にもう一度確かめる」という線は同じです。

再認証と署名の違い

再認証で確かめられるのは、操作の直前に本人がそこにいたことです。署名で残せるのは、本人が、どの内容に同意したかです。

あとで「何に同意したのか」が問われる操作では、再認証では足りないことがあります。確認の画面に何が書いてあったかと、実際に通った操作が同じだったかを、示せないからです。

署名の対象と、確認の画面の文言の関係は、確認画面の文言と、署名の対象は別のもの にまとめています。

次の一手

• 送金先の変更
• 管理者権限の付与
• 署名を始める：Org の作成