読み物の一覧 · 重要操作

Passkey の追加と回復

新しい Passkey を足す操作と、アカウントを取り戻す操作は、乗っ取りの入口になります。どこで止め、何を記録に残すかをまとめます。

起きること

Passkey は、偽のサイトでは使えません。だから攻撃は、Passkey そのものではなく、Passkey を増やす操作と、失ったときに取り戻す操作に向かいます。

• 盗まれたセッションから、攻撃者の端末の Passkey が足されます。それからは攻撃者も、正規の Passkey で署名できます。
• サポートの窓口に本人を装って電話をかけ、パスワードの再設定や認証手段の付け替えを頼みます²。
• 携帯電話の番号を自分の SIM に移させ、SMS で届く確認を受け取ります²。
• 回復のあと、それまでの連携や同意が、そのまま新しい端末に引き継がれます。

決めること

Passkey の追加と回復は、法令よりも、認証の指針が具体的に定めています。

そのうえで、自社のサービスで次を決めます。

• 窓口がパスワードや一時コードを発行する経路を、作らないか、作るなら誰が承認するか。
• 回復のあと、連携先への同意をもう一度求めるか。Clavis では、回復や Passkey の付け替えのあと、連携先へのサインインに同意をもう一度求めます。
• 同期される Passkey（複数の端末で使える Passkey）を受け入れるか。認証器は、バックアップの対象になりうるかどうかを知らせます³。

残す記録

Passkey の追加は、すでにある Passkey の署名で確定します。署名の対象（ハッシュ）に、次を含めます。

• 足す Passkey の識別子
• 足す理由（端末の追加、買い替えなど）
• 依頼の番号

"payload": {
  "purpose": "generic.sign",
  "message_digest": "<足す Passkey の識別子・理由・依頼番号の SHA-256>",
  "display_hint": "Passkey の追加"
}

回復は、すでにある Passkey が使えない場面なので、署名で確定できません。回復を使った時刻、使った手段、そのあとに足した Passkey、もう一度求めた同意を、記録として残します。

署名だけでは足りないこと

• 窓口の人がだまされることは、製品だけでは防げません。窓口の手順と、例外を誰が承認するかを決めておきます。
• 端末そのものを奪われ、画面のロックも解かれた場合は、正規の Passkey で署名できてしまいます。端末の管理は別の仕組みで行います。
• 回復の手段を一つも登録していない利用者は、端末を失うと戻れません。登録を求める場面を、自社で決めます。

次の一手

• 管理者権限の付与
• 署名の手順：依頼の登録から結果の受け取りまで