Google Developers Japan: 最新世代の Chromebook に使用されるビルトイン FIDO 認証システム

Local blog for Japanese speaking developers

最新世代の Chromebook に使用されるビルトイン FIDO 認証システム

2019年12月18日水曜日

この記事は Google Cloud プロダクトマネージャー、Christiaan Brand による Google Online Security Blog の記事 "Using a built-in FIDO authenticator on latest-generation Chromebooks" を元に翻訳・加筆したものです。詳しくは元記事をご覧ください。お知らせしましたDeviceSecondFactorAuthentication

主なユースケース

FIDO テクノロジーは、以下をサポートすることにより、リライングパーティ（インターネットサービスとも呼ばれます）が 3 つの個別のユースケースに関する問題を解決することを目指しています。

新しい端末でサービスに初めてログインする際のフィッシング攻撃を防ぐ。
既にログインしている端末で、サービスに対してユーザーが本人であることを再検証する。
ユーザーが接続に使っている端末が以前にログインした端末と同じであるかを確認する。通常、これは企業で必要とされる。

セキュリティのプロなら、3 番目のユースケースを 2 番目の特殊な例と解釈するかもしれません。しかし、この 2 つにはいくつかの違いがあります。次に示すのは、その点に少し踏み込んだ内容です。

ケース 2 で FIDO テクノロジーが解決しようとする問題は、端末に格納された秘密鍵のロックを解除してユーザーが本人であることを再検証することです。
ケース 3 では、FIDO テクノロジーは以前に作成したキーが元の端末にまだ存在するかどうかを確認します。その際、ユーザーが誰であるかという証拠は一切使われません。

ユースケース 1 の仕組み: ローミングセキュリティキー

このユースケース全体が今まで認証したことのないまったく新しい端末にログインする前提なので、ユーザーが FIDO セキュリティキー（取り外し可能、クロスプラットフォーム、またはローミング認証システム）を持っている必要があります。この定義によれば、Chrome OS 端末のビルトイン FIDO 認証システムはこの要件を満足できません。以前に設定されていない限り、ユーザーが本人かどうかを検証できないからです。初回のログイン時に、ユーザーが本人かどうかは、以前にアカウントに結びつけられたセキュリティキー（Google の Titan Security Key など）が存在することによって検証されます。

Titan Security Key

ユーザーのログインが成功すると、セキュリティキーはユーザーがログインした端末を信頼します。通常、Cookie などのトークンを端末に配置することによって、この端末で既にユーザーが 2 要素目の認証を済ませていることをリライングパーティが「覚えておける」ようにします。この手順が完了すると、この端末で物理的な 2 要素目を要求する必要はなくなります。Cookie が存在することは、リライングパーティにとってこの端末が信頼できるという証しだからです。

必要に応じて、既に認識されている端末（たとえば金融サービス企業など、特に機密性が高く規制が厳しいサービス）のユーザーが正しいユーザであるかを検証することを定期的に要求するサービスもあるかもしれません。ほぼすべての場合、再認証の際に知識要素（パスワードなど）に加えて 2 要素目も再提示することを求める必要はないでしょう。この操作は既に初回認証で行っているからです。

なお、Chrome OS 端末では、ログインしていないときのデータは暗号化されます。これにより、悪意のあるアクセスに対してデータの保護を強化できます。ユースケース 2 の仕組み: 再認証最近有効化されましたユースケース 3 の仕組み: ビルトイン端末認証システム

Pixel Slate 端末にはハードウェアベースの Titan セキュリティが組み込まれている Titan Security KeyAndroid スマートフォンサポートされている

Google 管理コンソールでビルトイン FIDO 認証を有効化する

サポート対象の Chromebook

最新世代の Chromebook の Chrome 76 以降で、ハードウェアベースの Titan セキュリティを活用したビルトイン FIDO 認証システムを有効にするオプションが提供されます。Chromebook でこの機能を有効にできるかどうかを確認するには、chrome://system に移動して「tpm-version」エントリを確認します。「vendor」が「43524f53」であれば、Chromebook で Titan セキュリティが使われています。

Chromebook で chrome://system に移動する

まとめTitan Security KeyAndroid スマートフォンEiji Kitamura - Developer Relations Team

ラベル

ブログアーカイブ

2020
- 1

2019
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2018
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2017
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2016
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2015
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2

2014
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2013
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2012
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2011
- 12
- 11
- 10
- 9
- 8
- 7
- 6
- 5
- 4
- 3
- 2
- 1

2010
- 12
- 11

Feed

"プロダクトに関するご意見はプロダクトフォーラムにお願いします"

Google Japan

Google Japan Blog
Google ウェブマスター向け公式ブログ
Google Apps アップデートブログ

Products

Android Blog
Chrome Blog
Lat Long Blog

Developers

Google Developers
Google Developers Japan YouTube
Google Developers Japan Forum

Google
Privacy
Terms