MFA （Multi-Factor Authentication）

このブログ記事は、クレデンシャルフィッシングに焦点を当てたシリーズの第2弾です。前回、Mukul Hingeは、ブログ「フィッシング耐性の高い多要素認証（MFA）の必要性」で、脅威者がより巧妙になり、様々なツールを使って防御策を突破していることを説明しました。本日の記事では、Okta FastPassの内部構造を掘り下げ、強力なフィッシング耐性とデバイス保証を提供する機能を説明します。 Okta Identity Engine（OIE）でOktaの全顧客にOkta FastPassを一般提供（GA）して以降、Okta FastPassは大規模に展開されており、毎月400万件以上のパスワードレス認証が行われています。Oktaの顧客であるIntercom、Rubrik、NTT DATAは…

インターネットは、企業やそのユーザーに危害を加えようとする攻撃者から、これほどまでに存亡の危機に直面したことはありません。多くの企業がアイデンティティとセキュリティの間に関連性があることを理解はしていますが、最新のセキュリティ戦略にとってアイデンティティがいかに重要であるかを十分に理解している企業はほとんどないかもしれません。IDのセキュリティ対策にギャップがある企業は、漏洩や侵害に直面するリスクが著しく高くなっています。 攻撃者が正当なIDをコントロールできてしまえば、ネットワークに侵入し、内部でラテラルムーブメント、不正行為を促進し、機密データを引き出すことができてしまいます。もちろん、一夜にしてブランドの評判や顧客ロイヤリティを損なうこともあります。 従来の境界線がなくなり、”人…

リモートワークやデジタルサービス提供の常態化に伴い、あらゆる組織が自社のアプリケーションやシステムへのアクセスを拡大し、デバイスや場所を問わず簡単にログインできるようになっています。これにより、ユーザーの利便性は向上しますが、同時に攻撃者の標的となってしまいます。その結果、ログインセキュリティは、誰もが優先的に取り組むべき課題となっています。 Salesforceも、このような脅威に対応している企業の1つです。顧客関係管理（CRM）ソリューションで、製品のセキュリティを強化するための新たな要件が導入されることが発表されました。2022年2月1日より、すべての顧客は多要素認証（MFA）を有効にする必要があります  Salesforceは、すでにほとんどの製品でMFA機能を提供しており…

クラウドセキュリティとは、クラウド環境に保存されているデータ、インフラストラクチャ、システムを保護するための一連の制御、ポリシー、手順、テクノロジーを指します。 クラウドセキュリティでは、データの安全性を維持し、規制遵守の要件を満たし、顧客のプライバシーを保護し、すべてのユーザーとデバイスの認証ルールを確立するために必要なプロセスとツールを利用できます。 クラウドサービスのセキュリティは、従来のITセキュリティと同様の機能を提供しますが、企業はさらにクラウドコンピューティングの多くのメリットも享受できます。レガシー、ハイブリッド、マルチクラウドのいずれの環境を使用している場合も、データを安全に保つことは企業の成功に不可欠です。ここでは、クラウドセキュリティがなぜ必要なのか、また…

データの不正利用とは、情報を想定されていない方法で使用することです。ユーザー契約、企業ポリシー、データプライバシー法、業界規制はすべて、データの収集と使用方法に関する条件を設定しています。データの不正使用は、これらの要件に違反するということになります。 データの盗難とは異なり、データの不正使用は、必ずしもサイバー攻撃の結果として、または所有者の同意なしにデータが収集されたときに起こるとは限りません。内部不正防止ガイドラインで規定されている従業員によるデータの盗難を防ぐことは重要ですが、データの不正利用は、多くの場合、利用許可範囲が無視されていることを意味します。ユーザーが進んで企業に個人情報を提供しても、企業はユーザーが同意していない目的でその情報を使用または共有することがあります。…

ワンタイムパスワード（OTP）とは、使い切りのパスワードを指します。具体的には、1回のログイン試行またはトランザクションでユーザーを認証する文字列または数字列（トークン）です。OTPをシステムログインに導入し、ユーザー認証することで、不正アクセス対策などのセキュリティ強度をあげることができます。OTPのアルゴリズムは、時間ベースのデータや過去のログインイベントなどのコンテキスト情報を考慮して、ワンタイムパスワードごとに一意の値（トークン）を生成します。 一般的にテクニカルサポートチームは、アカウントまたはWebサイトのログイン資格情報を忘れたユーザー向けとして、または特定リソースが不審なアクセス試行に対して追加の保護を必要とする場合に、OTPを運用します…

COVID-19のパンデミックは、人々の暮らしと働き方の両方を劇的に変えました。Oktaが本社を置くカリフォルニア州をはじめとして、米国の多くの州が屋内退避やソーシャルディスタンシングの命令を発出し、多くの労働者がリモートワークを余儀なくされています。地方政府や中央政府が指針を出していない場合でも、多くの企業はオフィスを閉鎖することを選択しています。その結果、全世界の何百万人もの人々が初めてリモートワークを利用しています。 世界中の組織は、長年にわたってビデオ会議を使用してきました（Skypeは2003年に設立され、Zoomは2011年に創業されました）。しかし、リモートで働く同僚とのつながりを維持するための新しい方法が必要となっている現在…

2019年3月、World Wide Web Consortium（W3C）は、WebAuthnがパスワードレスログインの公式Web標準になったことを発表しました。WebAuthnは幅広いアプリケーション（Microsoft Edge、Chrome、Firefox、モバイルアプリなど）でサポートされ、今後数年でさらに普及すると見込まれています。前回のブログ記事では、WebAuthnがもたらすカスタマーエクスペリエンスの向上やセキュリティ態勢の強化について、例を挙げて説明しました。 今回は、WebAuthnが新しい標準として確立される上で重要な役割を担った技術的要素とプロトコルについて説明します。 FIDO2とは FIDO2とは、パスワードを使用せず…

2019 年 3 月、W3C（World Wide Web Consortium）W3Cは、「WebAuthn」がパスワードレスログインの正式な Web 標準になったと発表しました。「WebAuthn」は、幅広いアプリケーション（Microsoft Edge、Chrome、Firefox、モバイルアプリなど）でサポートされており、この数年の間にさらに普及する Web 認証だと考えられています。 このページでは、現在の認証方法の弱点と「WebAuthn」のメリット、「WebAuthn」の最適な認証フローについて詳しくご説明します。 現在の Web 認証方法の弱点 「WebAuthn」が開発された理由とその多様な機能について説明する前に、まずはユーザー認証の歴史と…

最近、Facebookユーザーが体験した非常に懸念されるログインについて耳にしました。SMSで受け取ったパスワード回復コードを入力すると、誤って他人のFacebookアカウントにログインしたというのです。 このユーザーがSMSの受信に使用した電話番号は、他人が以前所有していた番号がリサイクルされたものでした。最初の所有者がFacebookアカウントと番号の関連付けを解除していなかったため、この番号を使用してSMSベースの認証を試みた結果、最初の所有者のアカウントにログインしたのです。非常にSMSベース認証のセキュリティリスクや脆弱性の問題がある出来事です。 この記事では、このようなインシデントにつながった古いアイデンティティの概念、現在モバイル認証（SMS認証…