パスキーは暗号学的には破られていないのに、認証セッションを乗っ取られてしまう攻撃手法が紹介されています。パスキーには複数デバイス間で同期される「同期パスキー」と、特定デバイスに紐づく「デバイスバインドパスキー」の2種類があります。
悪用されるのは、入力機器のないデバイス向けのOAuth 2.0認証方式であるデバイスコードフローです。攻撃者は被害者に本物のMicrosoftサインイン画面を提示して認証を開始させ、被害者がそこでパスキーによる正規の認証を完了すると、裏で攻撃者側のセッションが認証されてしまいます。記事は「”本物の画面だから安全”という直感が、そのまま裏切られてしまう点が、この攻撃の巧妙なところ」と指摘しています。
Microsoft Entra IDでの対策としては、条件付きアクセスの「認証フロー」設定でデバイスコードフローをブロックする方法が紹介されています。適用時はまずレポート専用モードで影響を確認してから本適用することが推奨されており、緊急アクセスアカウントやTeams Rooms、Azure CLI/PowerShell、Device Registration Serviceは除外が必要です。Entra ID P2ライセンスがあれば、ID Protectionによるリスクベースの条件付きアクセスも設定できます。なお2026年9月1日にSMS・音声認証がパスキーに置き換わり、2027年2月1日にMicrosoft提供のSMS/音声配信が廃止される予定とのことです。
出典が伝えている要点
- パスキーには「同期パスキー」(iCloudキーチェーンやGoogleパスワードマネージャー等で複数デバイス間に同期される)と「デバイスバインドパスキー」(Microsoft AuthenticatorやWindows Entra Passkey等、特定デバイスに紐づく)の2種類がある。
- 記事が説明する攻撃は、入力機器のないデバイス向けのOAuth 2.0「デバイスコードフロー」を悪用するものである。
- 攻撃者は被害者に本物のMicrosoftサインイン画面を提示してデバイスコードフローの認証を開始させる。
- 被害者がその画面でパスキーによる正規の認証を行うと、認証トークンは攻撃者側のセッションに渡ってしまう。
- この攻撃への対策として、条件付きアクセスの「認証フロー」設定で「デバイスコードフロー」をブロックする方法が挙げられている。
- 条件付きアクセスの適用にあたっては、まずレポート専用モードで影響を確認してから本適用することが推奨されている。
- デバイスコードフローのブロックからは、緊急アクセスアカウント、Teams Rooms、Azure CLI/PowerShell、Device Registration Serviceを除外する必要がある。
- Microsoft Entra ID P2ライセンスを用いることで、ID Protectionによるリスクベースの条件付きアクセスを設定できる。
- 2026年9月1日にSMSと音声認証がパスキーに置き換わるとされている。
- 2027年2月1日にMicrosoft提供のSMS/音声配信が廃止されるとされている。
原文より
「”本物の画面だから安全”という直感が、そのまま裏切られてしまう点が、この攻撃の巧妙なところ」