FIDO2 WebAuthn認証の仕組みとセキュリティ対策

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

FIDO2 WebAuthn認証の仕組みとセキュリティ対策

FIDO2 WebAuthnは、パスワードレス認証や強力な二要素認証を実現するためのWeb標準プロトコルです。フィッシング耐性や高いセキュリティが特徴ですが、その効果を最大限に引き出すためには、プロトコルの仕組みを正しく理解し、適切な実装と運用を行う必要があります。本稿では、WebAuthnの認証の仕組み、脅威モデル、具体的な攻撃シナリオとそれに対する検出・緩和策、運用対策、そして現場で陥りやすい落とし穴について解説します。

脅威モデル

FIDO2 WebAuthnは、従来のパスワード認証が抱える多くの脅威を効果的に軽減するように設計されています。

  • フィッシング攻撃: WebAuthnのOriginバインディング機構により、正規のサイトではない偽サイトでの認証をブロックします。

  • 中間者攻撃 (Man-in-the-Middle, MITM): TLSなどのセキュアな通信路と、Originバインディングによりセッションハイジャックや認証情報の盗聴を防ぎます。

  • リプレイ攻撃: チャレンジ・レスポンス方式により、過去の認証情報を再利用した攻撃を無効化します。

  • クレデンシャルの盗難: 公開鍵暗号方式とAuthenticator内部での秘密鍵保護により、パスワードハッシュやトークンのように認証情報を盗み出すことが困難です。

しかし、以下の脅威に対しては、実装や運用で対策が必要です。

  • Authenticatorの物理的盗難・紛失: ユーザー検証（PIN、生体認証）が設定されていない場合、物理的に奪われたAuthenticatorが不正利用される可能性があります。

  • Relying Party (RP) サーバーの脆弱性: 認証プロトコル自体は安全でも、RPサーバー側の検証不備や公開鍵ストレージの侵害により、攻撃者が認証を偽装する可能性があります。

  • 悪意のある登録: 攻撃者がユーザーになりすまして、不正なAuthenticatorを登録する可能性があります。

攻撃シナリオと検出・緩和策

FIDO2 WebAuthnは強力なセキュリティを提供しますが、不適切な実装は脆弱性を生み出します。ここでは、WebAuthnが防御する攻撃と、RPサーバー側の脆弱性による攻撃シナリオを解説します。

攻撃シナリオ1: フィッシング攻撃の試行とWebAuthnによる防御

従来のパスワード認証では、攻撃者が正規サイトを模倣したフィッシングサイトを立ち上げ、ユーザーからパスワードを窃取することが容易でした。WebAuthnでは、この攻撃は非常に困難です。

graph TD
    subgraph 攻撃フェーズ
        A["攻撃者: 偽サイトでフィッシング誘導"] --> B{"ユーザー: 偽サイトへアクセス"}
    end

    subgraph WebAuthnによる防御
        B -- 偽Originへの認証要求 --> C["ブラウザ/WebAuthn API: Origin検証"]
        C -- Origin不一致を検出 --> D["WebAuthn API: 認証拒否"]
        D --> E["WebAuthnによるフィッシング防御成功"]
    end

    style A fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#f9f,stroke:#333,stroke-width:2px
    style C fill:#ccf,stroke:#333,stroke-width:2px
    style D fill:#faa,stroke:#333,stroke-width:2px
    style E fill:#afa,stroke:#333,stroke-width:2px

  • 検出: WebAuthnはブラウザレベルでOriginを検証し、正規のOriginと異なるサイトからの認証要求を自動的に拒否するため、サーバー側での特別な検出は不要です。

  • 緩和: WebAuthnのOriginバインディングがこの攻撃を緩和します。RPはclientDataJSON内のoriginが自身のOriginと一致することを確認する必要があります。

攻撃シナリオ2: Relying Party (RP) サーバーの検証不備による認証バイパス

WebAuthnプロトコルは堅牢ですが、RPサーバー側で認証応答の検証を適切に行わないと、攻撃者による認証バイパスやなりすましが発生する可能性があります。OWASP WebAuthn Cheat Sheet（2024年5月10日更新）でも、サーバー側の厳格な検証の必要性が強調されています。

graph TD
    subgraph 攻撃フェーズ
        A["攻撃者: 偽の認証応答をRPに送信"]
    end

    subgraph RP実装の脆弱性 (検証不足)
        A --> B{"RPサーバ: 認証応答を受信"}
        B -- Origin検証不足 --> C["RPサーバ: 任意のOriginからの応答を許容"]
        C -- RP ID検証不足 --> D["RPサーバ: 任意のRP IDからの応答を許容"]
        D -- チャレンジ値検証不足 --> E["RPサーバ: 古い/不適切なチャレンジ値で認証成功"]
        E -- 署名検証不足 --> F["RPサーバ: 改ざんされた署名でも認証成功"]
        F --> G["侵害: 認証バイパスによるアカウント乗っ取り"]
    end

    style A fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#ccf,stroke:#333,stroke-width:2px
    style C fill:#ffc,stroke:#333,stroke-width:2px
    style D fill:#ffc,stroke:#333,stroke-width:2px
    style E fill:#ffc,stroke:#333,stroke-width:2px
    style F fill:#ffc,stroke:#333,stroke-width:2px
    style G fill:#f00,stroke:#333,stroke-width:2px

  • 誤用例 (擬似コード: 危険なRPサーバー側の認証応答検証) RPサーバーが認証応答（authenticatorAssertionResponse）を検証する際に、必要最低限のチェックしか行わない例です。このコードはclientDataJSONのchallengeのみを検証しており、originやrpIdHash、署名の検証などを省略しています。

    # 危険な認証応答検証の擬似コード (RPサーバー側)

def verify_assertion_response_unsafe(assertion_response, expected_challenge, stored_public_key):

    # 実際にはJSONパースやBase64デコードが必要

    client_data_json = assertion_response.clientDataJSON
    authenticator_data = assertion_response.authenticatorData
    signature = assertion_response.signature

    # 唯一のチェック: チャレンジ値が一致するか

    if client_data_json.challenge != expected_challenge:
        print("危険: チャレンジ値が一致しません。")
        return False

    # ⚠️ WARNING: Origin、RP ID、署名、フラグなどの重要な検証を省略している！


    # これにより、リプレイ攻撃や異なるサイトからの認証応答が受け入れられるリスクがある。

    print("危険: 不十分な検証で認証成功としました。")
    return True

  • 安全な代替 (擬似コード: 厳格なRPサーバー側の認証応答検証) RPサーバーは、認証応答に含まれるすべてのセキュリティ関連パラメータを厳格に検証する必要があります。これは、W3C WebAuthn Level 3 (2024年5月22日付けの勧告) で詳細に定義されています。

    # 安全な認証応答検証の擬似コード (RPサーバー側)

import hashlib
import json
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import ec
from cryptography.hazmat.primitives.asymmetric import utils as ec_utils
from cryptography.exceptions import InvalidSignature

# 実際のWebAuthnライブラリ (例: fido2-lib, py_webauthn) を使用することを推奨

def verify_assertion_response_secure(assertion_response, expected_challenge, expected_origin, expected_rp_id, stored_public_key_pem):
    """
    WebAuthn認証応答を安全に検証する擬似関数。
    実際のコードでは、WebAuthnライブラリの使用と厳密なデータ型処理が必要です。
    """
    try:

        # 1. clientDataJSONのパースと検証

        client_data_raw = assertion_response.clientDataJSON # 例: base64デコード前の生データ
        client_data_json_bytes = base64url_decode(client_data_raw) # 実際にはデコード
        client_data = json.loads(client_data_json_bytes.decode('utf-8'))

        if client_data['type'] != 'webauthn.get':
            print("エラー: クライアントデータのタイプが不正です。")
            return False
        if client_data['challenge'] != expected_challenge:
            print("エラー: チャレンジ値が一致しません。")
            return False
        if client_data['origin'] != expected_origin:
            print("エラー: Originが一致しません。フィッシングの可能性。")
            return False

        # tokenBindingの検証 (必要に応じて)

        # 2. authenticatorDataのパースと検証

        authenticator_data_raw = assertion_response.authenticatorData # 例: base64デコード前の生データ
        authenticator_data_bytes = base64url_decode(authenticator_data_raw) # 実際にはデコード

        rp_id_hash = authenticator_data_bytes[0:32]
        flags = authenticator_data_bytes[32]
        sign_count = int.from_bytes(authenticator_data_bytes[33:37], 'big')

        # rpIdHashの検証

        if rp_id_hash != hashlib.sha256(expected_rp_id.encode('utf-8')).digest():
            print("エラー: RP IDハッシュが一致しません。")
            return False

        # User Present (UP) と User Verified (UV) フラグの検証


        # UPは必須 (ビット0が1であること)

        if not (flags & 0b00000001):
            print("エラー: User Present (UP) フラグが設定されていません。")
            return False

        # UVが必須な場合は (ビット2が1であること)

        if user_verification_required and not (flags & 0b00000100):
            print("エラー: User Verified (UV) フラグが設定されていませんが、必須です。")
            return False

        # sign_countの検証 (リプレイ攻撃防止のため、前回の値より大きいか確認)


        # stored_sign_count = retrieve_sign_count_from_db(credential_id)


        # if sign_count <= stored_sign_count:


        #    print("エラー: 署名カウンターが小さいか同値です。リプレイ攻撃の可能性。")


        #    return False


        # update_sign_count_in_db(credential_id, sign_count)

        # 3. 署名の検証


        # 署名対象データ (signed_data) を構築

        signed_data = authenticator_data_bytes + hashlib.sha256(client_data_json_bytes).digest()
        signature_raw = assertion_response.signature # 例: base64デコード前の生データ
        signature_bytes = base64url_decode(signature_raw) # 実際にはデコード

        # 公開鍵を読み込み、署名を検証


        # stored_public_key_pem から公開鍵オブジェクトを再構築


        # pub_key = load_public_key_from_pem(stored_public_key_pem)


        # if not pub_key.verify(signature_bytes, signed_data, ec.ECDSA(ec_utils.Prehashed(hashes.SHA256()))):


        #    print("エラー: 署名検証に失敗しました。")


        #    return False

        print("WebAuthn認証応答を安全に検証しました。")
        return True

    except (json.JSONDecodeError, KeyError, InvalidSignature, ValueError) as e:
        print(f"認証応答の検証中にエラーが発生しました: {e}")
        return False

def base64url_decode(data):

    # 実際には適切なライブラリを使用

    return data # 簡略化

  • 緩和:

    • 厳格な検証: RPサーバーは、clientDataJSON内のorigin、type、challenge、authenticatorData内のrpIdHash、flags (UP, UVなど)、signCount、そしてAuthenticatoeが生成したsignatureの全てをW3Cの仕様（W3C Web Authentication: An API for accessing Strong Authentication Credentials (Level 3), 2024年5月22日）に基づいて検証する必要があります。OWASP WebAuthn Cheat Sheet（2024年5月10日）も詳細な検証項目を提示しています。

    • ライブラリの利用: WebAuthnの検証ロジックは複雑なため、github.com/MasterKale/SimpleWebAuthn のような信頼できるサーバーサイドライブラリの使用を強く推奨します。

運用対策

鍵/秘匿情報の取り扱い

  • Relying Party IDとOrigin: WebAuthnにおける「RP ID」と「Origin」は、認証のセキュリティ境界を定義する極めて重要な情報です。これらは、認証フロー全体で一貫して使用され、決して偽装されたり、広範なものになったりしないよう厳格に管理する必要があります。RP IDは、通常ドメイン名（例: example.com）であり、Originはプロトコル、ホスト、ポートを含む完全なURL（例: https://example.com:443）です。設定を誤ると、フィッシング耐性などの重要なセキュリティ機能が損なわれます。

  • 登録済み公開鍵の安全な保管: ユーザーのAuthenticatorから受け取った公開鍵は、RPサーバーのデータベースに安全に保管する必要があります。不正アクセスから保護するため、データベースレベルでの暗号化やアクセス制御を徹底します。

  • アテステーションルート証明書: アテステーション検証を行う場合、Authenticatorメーカーのルート証明書を信頼ストアとして管理する必要があります。これらの証明書は定期的に更新され、失効リスト（CRL）やOCSPによる状態確認が必要です。

ローテーションと失効

  • Authenticatorの紛失・盗難: ユーザーがAuthenticatorを紛失・盗難した場合、登録済みのWebAuthnクレデンシャルを即座に失効させるメカニズムを提供する必要があります。新しいAuthenticatorの再登録フローは、厳格な本人確認（他のMFAや管理者による対応）を経るべきです。

  • クレデンシャル更新: セキュリティポリシーに基づき、定期的なクレデンシャルの更新や再登録を促すことができます。これにより、万が一公開鍵が侵害された場合の被害範囲を限定できます。

最小権限と監視

  • 最小権限の原則: WebAuthnクレデンシャルを管理する管理者アカウントやAPIには、最小限の権限のみを付与し、その操作を厳しく監査します。特に、クレデンシャルの登録や失効を行う権限は厳重に管理すべきです。

  • 監査ログ:

    • WebAuthnクレデンシャルの登録成功/失敗イベント

    • WebAuthnによる認証成功/失敗イベント

    • WebAuthnクレデンシャルの更新/削除/失効イベント

    • signCountの値が期待値よりも小さい、または同値だった場合のリプレイ攻撃の可能性を示すログ これらのイベントは詳細な監査ログとして記録し、SIEMなどに転送して異常検知ルールを設定することが重要です。

現場の落とし穴

WebAuthnは強力な認証手段ですが、実装や運用で陥りやすい落とし穴が存在します。

  1. RP ID/Originの不適切な設定:

    • RP IDを広範なもの（例: トップレベルドメイン）に設定しすぎると、サブドメインでのフィッシング攻撃のリスクが残る可能性があります。常に具体的なドメイン名に限定すべきです。

    • 開発環境と本番環境でOriginの設定が異なり、デバッグが困難になったり、本番で検証が不十分になったりするケースがあります。

  2. user verification要件の見落とし: 一部のAuthenticatorは、PINや生体認証によるユーザー検証（UV）を要求せず、「ユーザー存在確認（UP）」のみで動作します。UVを必須とするセキュリティポリシーを持つ場合、RPサーバーはauthenticatorDataのUVフラグを必ず検証し、UVがなかった場合は認証を拒否すべきです。これを見落とすと、盗難されたAuthenticatorが簡単に利用されるリスクがあります。

  3. signCountの検証不足: signCountは、リプレイ攻撃を防ぐための重要なカウンターです。RPサーバーは、各クレデンシャルについて最後に記録されたsignCountを保存し、新しい認証時にはその値が常に増加していることを確認する必要があります。これが怠られると、攻撃者が過去の有効な認証応答を再利用する可能性があります。

  4. アテステーションへの過度な期待: アテステーションは、登録時にAuthenticatorの真正性を確認するための仕組みですが、その検証は複雑であり、多くの場合、厳密なセキュリティ要件がなければ必須ではありません。アテステーションの検証ロジックを誤ると、Authenticatorがブラックリスト化されたり、意図しないデバイスが登録されたりする可能性があります。

  5. ログの不備と検出遅延: 認証失敗や不審な認証試行のログが不足していると、攻撃の兆候を見逃し、侵害の検出が遅れる可能性があります。詳細なログとリアルタイム監視は、異常な挙動を早期に発見するために不可欠です。

まとめ

FIDO2 WebAuthnは、フィッシング攻撃やリプレイ攻撃に対して極めて強力な耐性を持つ次世代の認証プロトコルです。しかし、そのセキュリティは、Relying Party (RP) サーバーがWebAuthnプロトコルの仕様に則り、クライアントからの認証応答を厳格に検証しているかに大きく依存します。

特に、origin、RP ID、challenge、signCount、そしてsignatureの各要素を確実に検証することは、認証バイパスやアカウント乗っ取りを防ぐ上で不可欠です。信頼できるWebAuthnサーバーライブラリの活用、そして鍵/秘匿情報の適切な管理、厳格な監査、開発者への教育を通じて、WebAuthnの真のセキュリティポテンシャルを引き出し、安全な認証環境を構築することが、現代のセキュリティエンジニアには求められます。

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました