NIST SP800-63B-3の同期可能クレデンシャルに関する追補版を読む（５）

こんにちは、富士榮です。

引き続きNIST SP 800-63B-3への追補版を見ていきましょう。

今回は同期可能な認証器に関する脅威とチャレンジについてです。

Syncable Authenticator Threats and Challenges

同期可能な認証機能には、導入または展開の前に評価すべきいくつかの明確な脅威および課題がある。表3にこれらのリスクと推奨される軽減策の概要を示す。

表3. 同期可能な認証器の脅威、課題、緩和策

脅威と課題	説明	緩和策
鍵の不正使用または管理の喪失	同期可能な認証器の中には、鍵を悪用する可能性のある他のユーザが所有するデバ イスへの秘密鍵の共有をサポートするものもある。	- 同期されたキーの共有を防止するエンタープライズ・デバイス管理機能または管理されたプロファイルを強制する。 - 利用可能なすべての通知チャネルを通じて、鍵共有イベントをユーザーに通知する。 - ユーザが鍵、鍵の状態、鍵が共有されたかどうかを確認できる仕組みを提供する。 - 既存の認識およびトレーニングの仕組みを通じて、鍵の不正使用のリスクについてユー ザーを教育する。
同期ファブリックへの侵害	鍵の同期をサポートするために、ほとんどの実装は、アカウントに関連付けられた複数のデバイスに接続されたクラウドベースのサービスである「同期ファブリック」に鍵をクローンする。	- 暗号化された鍵マテリアルのみを保存する。 - 認証されたユーザ以外が秘密鍵にアクセスできないように、同期ファブリックのアクセス制御を実装する。 - クラウドサービスの基本的なセキュリティ機能（FISMA Moderate 保護または同等の保護など）を評価する。 - ハードウェア・セキュリティ・モジュールを活用し、暗号化鍵を保護する。
同期ファブリックへの不正アクセスと復旧	同期された鍵は、クラウドベースのアカウント回復プロセスを通じてアクセスできる。これらのプロセスは、認証者にとって潜在的な弱点となる。	- SP 800-63B に準拠した認証回復プロセスを導入する。 - デバイス管理またはマネージド・アカウント機能により、連邦エンタープライズ鍵の回復機能を 制限する。 - 復旧をサポートするために、AAL2 以上の複数の認証機関をバインドする。 - 同期ファブリックへのユーザ・アクセスに新しい認証者を追加する場合は、AAL2 認証を要求する。 - 連邦政府の企業シナリオでは、派生認証としてのみ使用する。 - ユーザにリカバリ活動を通知する。 - ユーザが管理する秘密鍵（シンク・ファブリック・プロバイダが知らないもの）を利用し、鍵の暗号化と回復を行う。
取消	同期可能な認証器はRP固有のキーを使用するため、そのキーに基づくアクセ スを一元的に取り消すことは困難である。たとえば、従来の PKI では、CRL を使用してアクセスを一元的に取り消すことができる。同様のプロセスは、同期可能な認証器（または FIDO WebAuthn ベースの認証器）では利用できない。	- ユーザが認証情報を管理するための中央 ID 管理（IDM）アカウントを導入し、認証情報が漏 洩したり失効したりした場合は、「所属機関」アカウントから認証情報を削除する。 - SSO およびフェデレーションを活用し、インシデント発生時に失効させる必要のある RP 固 有の鍵の数を制限する。 - ユーザが鍵の有効性と最新性を確認するよう定期的に要求するポリシーとツールを確立する。

ここにありましたね。同期と共有の違い。やっぱりMDMとかでコントロールするしかなさそうですね。

ちなみに次の章は共有に関して丸々一章を割いているのでやはり課題感は大きいんだと思います。