アイデンティティの世界では、アクセスコントロールのゴールドスタンダードは、ハードウェアで保護され、フィッシング耐性のある、なおかつエンドユーザーにとってシームレスなものであるべきだとよく言われます。しかし、これまでデスクトップ（特にmacOS）でそのレベルの保証を達成するには、複雑な証明書のデプロイメントを乗り越えるか、パスワード同期のような「十分な」ソリューションで妥協するしかありませんでした。
Oktaでは、高保証のセキュリティとユーザーエクスペリエンスはトレードオフの関係にあるべきではないと考えています。そのため、Okta Device Accessは、macOS向けのPlatformシングルサインオン（Platform SSO）を通じて、Secure Enclaveで保護されたキーをサポートするようになりました。この設定により、認証はパスワードの同期から、完全にハードウェアに紐付けられたアイデンティティへと移行します。
最新のMacに組み込まれている、安全で耐改ざん性のあるハードウェアに認証を直接固定することで、ITチームはデバイスが正しく申告どおりのものであることを検証でき、ユーザーはスムーズな認証を体験できます。
Platform SSOは、どのようにしてパスワード同期を超える機能を実現しているのでしょうか。
Platform SSOに関する最大の誤解の1つは、Platform SSOがOktaのパスワードをローカルのMacアカウントに同期させるための単なる別の方法にすぎない、というものです。OktaはDesktop Password Syncをサポートしていますが、プラットフォーム SSO認証方式でSecure Enclaveにバックアップされたキーを利用するように構成すると、基盤となるセキュリティアーキテクチャが変更されます。
このモードでは、パスワードの同期は不要です。代わりに、OktaはPlatform SSO拡張機能を活用して、一意の暗号化されたハードウェアバインドキーを作成します。Platform SSOの登録プロセスの一環として、ユーザーはOkta FastPassにも自動的に登録され、この新しいハードウェアにバインドされたキーはユーザーのFastPass登録に直接関連付けられます。
このSecure Enclaveで保護されたキーは、Macへのログインまたはロック解除が成功すると使用可能になります。ユーザーがOktaで保護されたApplication （アプリケーション）にサインインしようとすると、FastPassを介してフィッシング耐性のあるパスワードレス認証でアクセスできます。
ハードウェアで保護されたセッションで認証の摩擦を解消
Oktaの管理者にとって、この機能の最も強力な側面は、認証ポリシーとの連携方法にあります。
この機能が導入される前は、機密性の高い企業リソースへのアクセスにユーザー確認（生体認証やPINなど）を伴うFastPass認証をポリシーで要求した場合、すでにMacにログインしているユーザーに対して、Okta Verifyのプロンプトや生体認証チェックが追加で表示されていました。
Secure Enclaveで保護されたキーは、OktaのデバイスバインドSSOと密接に連携しています。デバイスバインドSSOは、デバイスへのログイン後にハードウェアで保護されたSSOセッションを開始し、ダウンストリームのアプリにシームレスにアクセスできるようにします。つまり、Secure Enclaveで保護されたキーでPlatform SSOを活用することで、ハードウェアレベルでセッションを効果的に事前検証できるということです。その結果、得られるものは次のとおりです。
- デバイスログインによる信頼：ユーザーがmacOSデバイスにログインすると、その結果として得られるSSOセッションは、最初から本質的にハードウェアに紐付けられます。
- アプリのポリシーが満たされている：このセッションはユーザーのFastPass登録に暗号で関連付けられており、ユーザーの初回ログイン（多くの場合Touch IDで実行）によって検証されるため、Oktaはこれを、ユーザー検証を伴うFastPassを要求するすべてのポリシーを満たしていると認識します。
- ログインの負担を軽減：ユーザーは追加のプロンプトなしで業務を開始でき、アプリへのシームレスでフィッシング耐性のあるアクセスが実現します。
ハードウェアにバインドされたアイデンティティのセキュリティ上のメリット
パスワードからハードウェアに紐付けられた認証方式に移行することで、最も一般的な攻撃ベクトルを遮断します。
- フィッシング攻撃：認証はSecure Enclave内の秘密鍵に紐付けられているため、ユーザーがフィッシングWebページに誤って入力するパスワードは存在しません。
- セッションリプレイ：攻撃者がセッショントークンを盗んだとしても、トークンがバインドされている物理的なハードウェアキーがなければ使用できません。
Platform SSOのサポートが拡張されたことで、Okta Device AccessはMac自体を保証レベルが高い認証者に変えます。シリコンに信頼を移行させると同時に、正しいログイン方法が最速の方法でもあることを保証します。
詳細を見る最新の Okta Device Accessドキュメント で、お使いの環境で Platform SSOを有効にする 方法をご確認ください。
このブログにおける将来の製品、機能、または認定に関する記述は、情報提供のみを目的としています。これらの項目は提供を約束するものではなく、購入を決定する際の判断材料として使用しないでください。
