Windows 10とFIDOアライアンス

FIDOアライアンスが日本で記者発表を行ったようですね。そしてWindows 10は生体認証を標準サポートし、パスワードを使わないセキュリティ設定でFIDO2.0準拠の実装に移行することを発表したようです。

パスワードのことは忘れよう。MicrosoftはWindows 10で生体認証へ移行する。

指紋認証については、ここに書いてあることに尽きるでしょう。

Chaos Computer ClubがiPhone 5sの指紋センサーを迂回したと発表

どうも怖いのはせめてU2Fというのならいいのですが、UAFって経路と秘密情報の保管場所の保護の話しかしてなくて、生体認証自体の強度についてはあまり語っていないところ。生体認証関係のコンポーネントのメーカーが絡んでいるとすると弱点を宣伝するわけはないよねえという話はあります。

FIDO Alliance (OAuth.jp)

を読むと、どうもFIDOは二要素認証にはあまり積極的ではないようにも思えます。UAFは「パスワードを廃止してもっと使いやすい認証」と謳えますが、U2Fはそうではないからなのかなあという気はします。

どうもセキュリティについて真剣に考えてる団体であるようには思えないんだよな…。とはいえ、FIDO2.0がどうなるかはまだ決まってない部分も多いわけなので、様子を見たいとは思うのですが。

One finger doesn't begin to define Windows 10 authentication, FIDO

Away-to-Lockがこれからのトレンドですかね？

Chromebookなんて誰が使ってんだよ的な話はあると思うので（とはいえ日本での普及が遅いだけのような気もちょっとするけど）もう一件

A Wireless Sensor That Locks Your Mac When You Walk Away

Macbook用、ですかね。Bluetoothでペアリングされており、距離が遠くなると自動的にロックする。アンロックは自動で行われるようにすることもできるが、システムパスワードとの二要素認証が必要になるよう設定することもできる。（つまりSesami 2を持って座った上でパスワードも正しく入力しなくてはいけない、ということ。）

今はBLEがあるので実用的には大丈夫だと思います。昔これをやろうとしたら電力消費とかいろいろ障害があったと思うので。ある意味長年あったものなんだけど環境が整ったということですかね。

Bluetoothでやるのであれば普通のスマートフォンでもできる気がするな。そういうアプリ売ってたりするのかな…。

まあ何にしても手軽さという意味ではこのトークン、悪くないとは思います。二要素認証が設定できるのは強みでしょうね。このままでソフトさえ開発すればWindowsでもChromebookでもAndroidでも使えるようになるような気がします。

Atama Sesame 2

心拍認証デバイス販売中

心拍認証を実現するデバイスが実際に発売されるようです。

トロント発Nymiはあなたの心拍でパスワードを置き換える

もとの記事でも紹介されていたBionym社が社名を製品名「Nymi」と同じにしたのですね。

Nymi社のNymi bandは現在開発者バージョン（Discovery Kit）を149ドルで販売中。同じ価格で一般ユーザーバージョンを予約受付中だそうです。

LollipopのSmart Lock

CNETの記事

ChromebookがAndroidスマートフォンでアンロックできる

Android Wearを装着している間はAndroidスマートフォンがロックされないままで使えるようになるというSmart Lock機能が、Chromebookでも利用可能になったとのこと。Androidスマートフォンを持ったままChromebookに向かうと自動的にアンロックされるらしい。

FIDOアライアンスもこういうのを想定しているのでしょうかね？

ちなみにLollipopのSmart Lockだと「特定の場所にいるときはロックがかからなくなる」機能も実装されているそうです。（自宅にいる時はずっとロックされずに使い続けられる機能。）

利便性とセキュリティはトレードオフです。だからほんとうに安全なときくらいはロック機能を外してもいいのかなという気はします。

ただ、安全だろうと思って設定していても、いつ状況が変わるかは分かりません。本当は状況を察知してロックしてくれるくらいになってくれるといいのかな。これもGORT君の仕事かな。

7インチタブレットでは画像認証は使いにくい！

TechRepublicの記事です。

Windows 8.1の画像認証をやめてPINにすることにした

ざっくり訳すと

「Office Depotで99ドルで叩き売りになってたHP Stream 7を衝動買いして、使い始めてすぐに、普段使っているパスワードをタブレットのソフトキーボードで入力するのはとても面倒だと気がついた。」

「そういう人のために画像認証があるんじゃないか！ということで画像認証を使い始めたのだがこれが何だかちっとも使いものにならない。どう考えても正しく入力しているのにログインに失敗することが頻繁にある。」

「もっと単純にPINでログインできるようにすればいいんじゃないかと思って、iOSのPIN入力画面の画像を持ってきて画像認証に貼ってみた。」（注：この発想が普通じゃないと思うんだけど。(笑)）

「しかし数字ボタンの中央を正確にタップしないとやっぱり認証しない。」（注：つまり数字ボタンの画像が大きすぎたということですが。）

「そこで結局あきらめてPIN認証に切り替えることにした。」（注：最初からPIN認証モードが用意されているんですね。）

Microsoft/Windows 8(8.1)の画像認証については「6文字程度のパスワードに相当するセキュリティ」ということで安全性には問題があるという認識はありましたけど、認識率についてはあれだけたくさん特許を出してるんだし多少ラフになぞっても大丈夫になってるもんだと思っていました。

（もちろん、あまりにもラフに認証できてしまうのは問題ですが、もともと6文字程度しかないのなら徹底的に利便性に振るのもありかとは思うのですが。）

しかしTechRepublicに記事を書く人ですらこんな有り様なのでは心許ないとしか言いようがありませんね。もちろん、癖みたいなものに左右される気がしますし、根気よく慣れていけば人間のほうがキャリブレートされてしまうかもしれないのですが。

画像認証がなかなか主流にならない（もちろんAndroidの9ドット認証(Draw-A-Secret)なんかは成功している部類だとは思いますが）のはこういうことがあるからなんだろうな、と改めて考えたのでありました。

No CAPTCHA reCAPTCHA

こちらのほうが画像認証に近い話題かも知れません。

Google Upgrades Security From 'reCAPTCHA' to 'No CAPTCHA reCAPTCHA'

CAPTCHAからあの「歪んだ文字列」を取り去ったというお話。GoogleがreCAPTCHAを改良し、「あなたは人間ですか？」という問いに「YES」と答えるだけで認証できる「人間証明システム」をリリースしました。

Googleによれば「botかどうかを判別するにはこれだけで充分」だとか。もっとも判断不能な場合には写真選択式の画像認証を要求するそうです。例示画像と「同様のもの」を選択させる任意画像複数提示選択式。

画像を漠然とした「同様のもの」で選択させるのは確かにプログラムに正解させるのはかなり難しいハードルです。ただ、写真が当たりか外れかが二値なのがちょっと厳しいかなあという気がします。例題画像に出ている「鳥の写真」っていうのは割と判別が楽な部類ではないかなという気がするのですが。

多分最初に「あなたは人間？」という質問に答えさせるのが肝腎なんではないかと思います。今やGoogleのユーザーではない人間を探すのが大変な状況ですし、アカウントを持っていなくてもGoogleを何度か繰り返し利用すればそのパターンで人間であることは判別可能だろうと思います。またreCAPTCHAのサービスそのものでもわかるように、Googleのサービスでも何でもないところを利用した場合でもバックエンドで繋がっている可能性はあり、それだけでもGoogleには情報が残ります。ということは人間であることがほぼ確実なユーザーのブラウザに目印を付けておけばその後はそれを利用できることになりますね。

Google以外が同様のサービスを構築できるのであれば画期的だとは思うのですが、安易に真似するところが出てこないことを願いたい、という気もします。

FIDO Alliance

こんな記事を発見。

Saying Goodbye And Good Riddance to Passwords

複数のファクターによる認証を組み合わせてユーザーの負担を軽くしつつセキュリティを強化する仕組を提案しているとの話です。FIDO Allianceは様々な業種の150社が参加している団体だそうです。Phil DunkelbergerはPGP Corporationの共同創業者。PGPを開発したのはPhil Zimmermann。

ドングルや指紋認証、その他いろんなものを組み合わせて、公開鍵方式で保護すれば十分安全ということのようです。ホントかな…。ちょっと心配ですが、今後普及すれば、少なくとも極端に複雑なパスワードが不要とされ、それ故の安易なパスワードが使用されるケースや、単一のパスワードが使いまわされる事例が減少する、ということは期待してもいいのかも知れません。

画像認証とは直接は関係ありませんが、認証系の話題は結構いろいろありますね。