Appleが採用するセキュリティ技術のWebAuthnは何が凄いのか？

世界を牽引するテクノロジー企業として知られる米アップルは、常に最新のセキュリティ技術の導入を進めている点でも評価されています。

デジタルトランスフォーメーション(DX)が進むにつれ、サイバー犯罪対策の必要性も高まり、最先端のセキュリティ構築は企業価値に直結するようになってきました。そんな中で注目されているのがWebAuthnと呼ばれる技術で、Apple含むGAFAの一部サービスにも採用がはじまるなど、高い信頼性を獲得していることがわかります。

今回はそんなWebAuthnに注目し、なぜこの技術が期待されているのかや、その仕組みについてご紹介します。

①WebAuthnとは
②WebAuthnの導入メリット
③Appleが採用しているWebAuthn技術
④WebAuthn導入の懸念点

WebAuthnとは

WebAuthnは、Web上で提供されている各種サービスにおけるセキュリティ強化のため、新しい認証方法として注目されている技術です。

インターネット上で採用される技術の標準化を進めているWorld Wide Web Consortium(W3C)は、2019年にWebAuthnをインターネット利用における新たなログイン方法として標準化することを決定しました。この決定によって、今後インターネット利用におけるセキュリティの強化はもちろんのこと、各種サービスにおけるログインが今よりも簡単に行えるようになることが期待されています*1。

WebAuthnの仕組み

WebAuthnの仕組みを理解する上で重要なのが、FIDO(Fast IDentity Online) と呼ばれる技術です。FIDOはパスワード認証よりも安全で、なおかつ高速の認証を可能にする仕様のことを指しており、次世代の認証サービスにとって不可欠な存在です。

近年はFIDOの仕組みをWeb上でも採用できる規格である「FIDO2」も登場し、ますます身近な技術となってきました。そしてWebAuthnはこのFIDO2の技術の一種で、世界中で導入が進められています。

FIDOの仕組みは、暗号の登録と認証という二つのプロセスを実行することでセキュリティ機能を発揮するというものですが、特徴的なのは生体認証を採用している点です。デバイスに標準搭載されている指紋認証や顔認証技術が扱えるだけでなく、外部の生体認証キーデバイスを装着することで、認証機器非搭載のPCでもWebAuthnを活用したセキュリティシステムを利用できます。

WebAuthnの導入メリット

WebAuthnの導入は、以下二つのメリットを活かすことができるということで、注目を集めています。順に見ていきましょう。

情報漏洩のリスクを最小限に抑えられる

一つ目は、情報漏洩のリスクを小さく抑えられるという点です。従来のパスワード方式のセキュリティの場合、パスワードがわかってしまえば誰でも簡単にアクセスができてしまいました。パスワードはなるべく長く、複雑にが基本ですが、どれだけ複雑でも情報が漏洩すれば簡単に解錠できるため、セキュリティ対策としては不十分です。

そこでWebAuthnの登場です。WebAuthnでは生体情報をもとにユーザー認証を行いますが、インターネット上での認証とはいえ生体情報がネット上に漏れてしまうことはなく、認証自体はローカル環境で行われるため、第三者に知られることはありません。また、サービスプロバイダーの側から情報が漏洩し、第三者によって自身の認証情報が知られてしまうこともないため、非常に高度なセキュリティ体制を構築できます。

パスワードを覚えておく必要がない

長く複雑なパスワードは、ユーザーが覚えられなかったり、保存するのに苦労したりすることもあり、ユーザビリティの低下に繋がってきました。WebAuthnの場合、このようなパスワードを伴うユーザー負担を丸ごと解消できるため、従来のようにパスワードをきちんと覚えておく必要もなくなっています。

また、一度登録した認証情報は、他のWebサービスにおいても同様に使えます。サービスごとに別々の認証登録を実施したり、パスワードを覚えたりする必要がなくなるため、より快適なインターネット利用を実現します。

Appleが採用しているWebAuthn技術

ここで、実際にAppleが採用しているWebAuthn技術について、二つほど実例を見ていきましょう。

Safari

Apple公式のWebブラウザであるSafariは、比較的早い段階からWebAuthnを採用しているサービスの一種です。iPhoneやMacbookに搭載しているFace IDやTouch IDを活用することで、ユーザー名とパスワードを入力することなくウェブサイトにログインできる技術を実装しています*2。

Appleは以前より生体認証技術の導入には前向きであったため、WebAuthnのような技術は非常に相性が良いと言えます。Webブラウザを快適に、そしてより安全に利用するための前衛的な取り組みです。

iCloud

クラウドストレージでお馴染みのiCloudも、WebAuthnによって優れたセキュリティレベルの実現が進められています。新しい認証情報保存機能として公開された「Passkeys in iCloud Keychain」は、新規ユーザーの作成時にユーザー名を入力しiPhoneのFace IDで認証するだけで、すぐに同期ができる仕組みになっています*3。

万が一Appleデバイスを紛失しても、生体情報はキーチェーンに保存されているため、すぐに復元も可能ということです。

WebAuthn導入の懸念点

このように、WebAuthnの導入は魅力的な機能を実現できる可能性を持つ反面、いくつかの懸念点も存在しています。順に見ておきましょう。

普及率が低い

一つ目は、普及率です。WebAuthnは革新的な技術である反面、まだまだ採用企業は少なく、使用ケースは限られているということです。今後導入企業は増えることが予想できますが、現状では従来のパスワード方式が一般的なため、完全な刷新には時間がかかるでしょう。

技術開発にコストがかかる

もう一つの理由は、技術開発のコストです。WebAuthnはハイテクであるため、これを扱えるようなエンジニアや組織力を抱える企業は少数であり運用には費用がかかります。そのため、GAFAのような先進企業や、セキュリティ対策に本腰を入れている企業でなければ、WebAuthnの採用はまだ先になるかもしれません。

おわりに

今回は、最先端のWebセキュリティ技術であるWebAuthnについてご紹介しました。Appleのような先端企業での導入が進んでおり、生体認証をより効果的に活用する方法であることから、一層の普及が期待できます。

早いうちからその仕組みを理解しておき、効果的な活用方法についても検討しておきましょう。

*1 GIGAZINE「パスワード不要のログイン方法「WebAuthn」がウェブ標準になる」
https://gigazine.net/news/20190305-webauthn-password-free-login-standard/
*2 TechCrunch「Safariの次期バーションではFace IDとTouch IDでウェブログインが可能に」
https://jp.techcrunch.com/2020/06/26/2020-06-25-apple-is-bringing-face-id-and-touch-id-to-the-web-with-safari-14/
*3 AAPL Ch.「Apple、WebAuthnベースのキーマテリアルをiCloudに保存し同期＆認証に利用する「Passkeys in iCloud Keychain」のTechnology Previewを公開。」
https://applech2.com/archives/20210610-about-passkeys-in-icloud-keychain.html