従来のように、どこかで流出すれば使い回されかねない文字列のパスワードを入力する代わりに、対応アプリやWebサイトでは、顔認証、指紋、PINなどを使ってパスキーでサインインできます 。報道では、パスキーはWebAuthnベースの資格情報で、公開鍵暗号を使い、秘密鍵はユーザーの端末側に保存される仕組みだとも説明されています
。
端末やサービスによって使える方法は異なりますが、Microsoftのパスワードレス選択肢には、パスキー、Windows Hello型の顔・指紋・PINによるサインイン、Microsoft Authenticatorアプリ、物理セキュリティキーなどが含まれると報じられています 。
注意したいのは、既存のMicrosoftアカウントからパスワードサインインが一斉に消えるわけではない、という点です。Microsoftや関連報道は、今回の標準変更を「新しく作成されるMicrosoftアカウント」に関するものとして説明しています 。
とはいえ、急いでパスワードを消す前に確認したい点があります。Microsoftはパスキーを「対応アプリやWebサイト」で使えるサインイン方法として説明しているため、手元の端末で確実にパスキーを使えるか、端末をなくした場合の復旧手段があるかを確認してから移行するのが現実的です 。
Microsoft側の主張は明快です。パスワードは攻撃者に狙われやすい弱点になりがちです。今回の発表は、フィッシング、総当たり攻撃、クレデンシャルスタッフィングといったパスワードを悪用する攻撃への対策として位置づけられています 。
パスキーは、共有された文字列を入力する従来型のモデルではなく、対応サービス上で端末ベースの認証を使うため、フィッシングに強い方式として設計されています 。Microsoftは使いやすさも強調しており、RCPmagは、パスキーでのサインイン成功率が約98%であるのに対し、パスワードでのサインイン成功率は約32%だとするMicrosoftの説明を報じています
。
これからMicrosoftアカウントを作る場合、サインアップの流れはまずパスワードレスの方法へ案内されると考えてよさそうです。既存ユーザーにとっては、突然の締め出しというより、移行の選択肢がより前面に出てきたと見るべきでしょう。
Comments
0 comments