英NCSC、パスキー移行は「数十年の慣行を変える」課題と指摘

英国家サイバーセキュリティセンター（NCSC）は、パスキーへの移行を「数十年にわたるセキュリティ慣行を変える課題」と表現した。TechRadarが13日に報じた。

パスキーは秘密鍵を利用者の端末に保存し、中央のサーバーやアプリケーションとは共有しない仕組みだ。このため、パスワードを集中管理するデータベースが不要になる。また、暗号学的に特定のドメインに紐づけられているため、フィッシング攻撃への耐性を持つ。

一方、IAM（アイデンティティー管理）戦略が脆弱か未整備の企業では、パスワード代替手段を導入している割合は30%にとどまる。英国では、自身のアイデンティティーデータを管理する組織を「完全に信頼する」と回答した人は17%のみだった。

自律型AIシステムは人間のようにパスワードを記憶できないため、認証情報がコードに直接埋め込まれたり、セッショントークンがシステム間で共有されたりする事例が生じている。

背景

AIはサイバー犯罪の規模と効率を高めており、攻撃者は大規模なアカウント情報の詰め込み攻撃や巧妙なフィッシングを自動化している。また、エージェント型ランサムウェア攻撃も登場し、人間中心の防御が対応しきれない状況が指摘されている。