- 頻繁に認証を求めるポリシーは、実質的なセキュリティ強化効果がないまま、ユーザーの不便さだけを招く
- MFA疲労攻撃など最新のセキュリティ脅威の増加により、反復的な認証がかえって脆弱性になり得る
- OSの画面ロック機能とリアルタイムのアクセスポリシー更新のほうが、より効果的な保護手段である
- 機密性の高い作業の直前にのみ追加認証が必要であり、任意に短いログイン周期は不要である
- 現代的なアクセス制御方式は、ユーザーを妨げずに自動的かつ迅速にポリシーを適用する
頻繁な認証がセキュリティを強化しない理由
反復認証がもたらす問題点
- 作業の流れの途中でセッションが切れ、**パスワードとMFA（多要素認証）**を何度も入力し直すことで、生産性の低下が発生する
- 当初はパスワードの再入力だけで済んでいたが、MFA段階が追加されてからは時間の消耗とユーザーの不満が深刻化した
- MFA要求の頻度が高まるほど、**MFA疲労攻撃（MFA fatigue attacks）**の成功可能性も高まる
- 過去にはパスワードの頻繁な変更や短いセッション有効期限が有効なセキュリティ対策と考えられていたが、最新のガイドラインではむしろ逆効果と評価されている
- セキュリティはログイン周期ではなく、アクセス権限の管理とポリシー変更がどれだけ迅速に反映されるかにかかっている
認証方式の本質
- 認証は主に次の二つのうちいずれかを証明する方式である
- デバイス所有の証明: Windows Hello PIN、YubiKey、スマートカードなど、物理的に機器を所持しているかを確認する
- 本人性の証明: パスワード、Face ID、Touch IDなど、そのユーザー本人であることを識別する
- Identity Provider（IdP）の主な役割は、本人確認に集中している
- Face ID、Touch ID、Windows Helloなどは、デバイス所有の証明と本人性の証明を同時に処理する統合システムであり、セキュリティ性が高い
- 管理者は、ポリシー変更が即時に反映されないのではないかという不安から、セッション有効期限を短く設定することが多い
実際のセキュリティ脅威と認証の役割
- ほとんどの攻撃者はリモートフィッシングを通じて攻撃を試み、パスワードの窃取は非常に容易である
- リモート攻撃に備えるうえで、**二次認証（例: YubiKey）**の使用は重要な防御手段である
- 機器の紛失・盗難などの物理的攻撃が発生した場合、通常はすでに画面がロックされている
- むしろ頻繁にログインするほど、攻撃者に認証情報窃取の機会を増やしてしまい、セキュリティに悪影響を及ぼす
OSとWebサービスの役割
- 最新のOSは画面ロック機能によって、ユーザーが席を離れると自動的にシステムを保護する
- 追加認証の頻度を増やすようなユーザー負担よりも、自動ロックポリシーの適用が望ましい
- 共有コンピューターでない限り、短いWebセッション有効期限は昔のインターネットカフェ環境の遺物にすぎない
- 機密性の高いサービス（例: インターネットバンキング）を除けば、不適切なセッション有効期限ポリシーはかえってセキュリティとユーザビリティの両方を低下させる
効率的でユーザーフレンドリーなセキュリティモデル
- 機密性の高い操作の前に即時認証（on-demand authentication）を行うのが理想的である
- Tailscale SSHのcheckモード、Slack Accessbotなどは、必要なときに即座にユーザー確認する機能を提供する
- OSの画面ロック強制を併用すれば、セキュリティと利便性のバランスを維持できる
- 継続的なセキュリティ状態の点検（device posture check）とリアルタイムのアクセス制御が、ユーザーの行動とは無関係に自動で行われる
- 例:
- デバイスがオフライン状態である、紛失している、またはセキュリティ検査に失敗した場合は即座にアクセス権を回収
- 役割の変化などにより身分変更があった場合は自動的にアクセスポリシーを更新
- ユーザーに反復認証を強いる方式より、リアルタイム自動化の方式のほうがはるかに賢く安全である
結論
- 頻繁なログインはセキュリティを効果的に高めるものではなく、むしろパスワードの使い回し、フィッシング、MFA疲労などにつながり得る
- 静かで自動化されたセキュリティ体制こそが最良の保護策である
- Tailscaleは適応型で、インテリジェントで、実際に役立つセキュリティを追求している
- ユーザーが自らログイン周期を調整しなくても、必要な瞬間に最小限の認証摩擦だけが発生するよう設計されている
- Tailscaleのリアルタイムセキュリティ点検機能は他のアプリにも拡張適用でき、レガシーシステムまで安全に保護できる
参考リンク
4件のコメント
HNのコメントでも出ていましたが、急速に変化するIT環境に比べて、融通の利かない古い標準を前提に語られるセキュリティチェックや規定などが足かせになっている面が大きいですよね。現場では皆さんすでに分かっている話かもしれませんが……（笑）
韓国の多くのサービスでは、30日に一度パスワードを再設定しろという煩わしい通知が表示されます。
個人情報保護の義務として何年も強制されてきた部分なので、とても面倒ですよね…（泣）
Hacker Newsの意見
強制的な定期パスワード変更や有効期限ポリシーのほうが、むしろ大きな問題だと思う。こうしたポリシーは人をしばしばアカウントロック状態に追い込みがちで（たとえば休暇中にパスワードが期限切れになるなど）、その後はIT部門まで直接行ったり、何時間も電話してITに連絡してリセットを依頼したり、ロックされていない同僚経由で連絡したりといった面倒が発生する
多くの（大半の？）企業はいまだにこうしたポリシーを適用しているが、NISTはもはや任意のパスワード変更を推奨していない
NIST公式文書
Microsoftも、パスワードの有効期限はむしろ有害だとして推奨していない
Microsoft公式文書
それでもITやセキュリティの分野では、こうした勧告が十分に「権威あるもの」として受け止められていないようで、しかもいまだにこうしたポリシーを推奨するガイドも存在する
たまに適当なサイトにログインしたとき、強制パスワードリセットを求められると、時間ベースの期限切れではなく、アカウントが流出または侵害されたのではないかと思ってしまう
サイト運営者が特定アカウントがデータ流出リストに含まれていると把握しているなら、次回ログイン時に強制パスワード変更を求めるのは合理的な対応だと思う
これをサイバーセキュリティ担当者に話したら、PCI基準では定期的なパスワード変更が求められるので、どの監査を重視するか次第だと聞いた
昔はこういうポリシーがあまりに煩わしくて、毎回パスワードの末尾にアルファベットを1文字ずつ a〜z の順で付け足してしのいでいた
幸い、今の会社では同じパスワードを3年間使い続けていて満足している
自分のパスワードが漏れていないのに、提供側が定期的に変えろと言うのはおかしいと思う
これがいまだに公式標準のように適用されている状況にはあきれる
結局、自分の全アカウントが
1234abcd@パターンしか使わない状態になっているApple製品のせいで本当に不便さを感じる
このパターンがすべてのApple製品に当てはまるのを確認している
MacでTouch IDを設定し、App StoreでAppleアカウントにログインしてアプリをインストールしようとすると、何度もパスワード入力を求めるウィンドウが出る。Touch IDで認証できるはずなのに、毎回パスワードを要求してくる
無料アプリのインストール時も同様で、本当に不要な手順だと思う
このパターンは配偶者のiPhoneでも時々起きる
スマホを初期化して再設定するときは特に、Appleのパスワード再入力を繰り返し要求される
Touch IDで十分に保護されている状況なのに、ずっとこうなのでうんざりする
AppleサービスにApple以外のデバイスからアクセスすると、さらに深刻な不便が生じる
icloud.comにログインするたびに「このデバイスを信頼」を押しても、翌日にはまたパスワード＋ワンタイムコードの二要素認証を繰り返すことになるFace IDが支払いやアプリインストール中に失敗すると、PINで代替せず、必ずAppleアカウント全体のパスワード入力を求められ、しかもパスワードマネージャーのアプリも開けない構造になっている
レジでこんな状況になると本当に困る経験だ
Touch IDで購入承認を使える設定になっているか、必ず確認したほうがいい
（
Settings > Touch ID & Passwordで設定が必要）これを有効にしていないと、パスワード入力要求が続くことがある
再起動後に1回だけ認証が必要で、その後はTouch IDで大半の認証ができるというのが自分の経験だ
MacにiPhoneを接続して同期するたびに、「このデバイスを信頼しますか？」というダイアログがMacとiPhoneの両方に表示され、毎回「はい」を選んでも次の接続時にまた聞かれる
sudo権限が必要な作業で再認証を求められるのは自然なことだと思うこういうときは関連作業をまとめて、一度だけ認証するようにすれば再認証回数を減らせる
かなり古いiPadを子どもが使っていて、iOS 10.3なのでパスワードマネージャーのアプリも動かず、ブラウザも32ビットアプリなので最新のWebサイトを開くこともできない
そのせいでApp Storeを使うたびに50文字以上のパスワードを毎回手入力しなければならず、とても面倒な状況だ
こういう記事を読むべきなのはセキュリティ監査をする監査人たちだと思う
この人たちが期待する基準が変わらない限り、多くの企業は業界標準だと言いながら、現実には愚かなポリシーに従い続けることになる
特に特定分野の中小企業も、セキュリティ監査で高得点を取らなければならないので、役に立たないセキュリティ手順を多数採用している
実際には効果がないと分かっているセキュリティ手段が少なくとも6つ以上強制適用されているが、監査人たちはまだなかなか変えようとしない
SOC2監査を受ける際、NISTガイドラインを継続的に提示してきた
リンクを見せると、大半は最終的にNIST基準を受け入れる
AppleもMicrosoftも、会社のセキュリティチームが「このデバイスを記憶する」「このデバイスを信頼する」オプションを無効化する企業向け設定をサポートしている
監査人やCISO（最高情報セキュリティ責任者）はひたすらチェックリスト中心で監査するので、実際にセキュリティが高まるかどうかはまったく重要ではなく、監査で承認されることのほうが重要になっている
こうした設定はユーザーの不便を増やすだけで、実際には現実のセキュリティをむしろ悪化させる
MicrosoftはPCゲームもこういう形で台無しにしたと思う
MinecraftやMaster Chief Collectionのようなゲームを起動するたびに、唐突に再認証ウィンドウが出ると分かっているので後回しにしてしまう
こうした不便のせいで、2FA（二要素認証）もアカウントで無効にしてしまった
これは単なるゲームであって銀行口座の認証ではないのだから、どうか普通に楽しくゲームだけさせてほしい
最近はQRコードをスキャンして認証する機能ができたらしいが、こういうシステムを作った人は実際のユーザー体験とかけ離れていると思う
この記事でほとんど触れられていない点がある
UX（ユーザー体験）が悪いと、それ自体がセキュリティ脆弱性になりうると思う
システムが普段から不合理に振る舞っていると、本当に問題が起きたとき、ユーザーは変化や異常な挙動に気づけない可能性が高い
たとえばパスワード入力要求があまりに頻繁だと、習慣的に入力するようになり、その結果
phishingのような危険を見分けにくくなるまた、OSでスタートアッププログラムやバックグラウンドで実行される怪しいコードの管理ができていないと、悪用もしやすい
一般的なセキュリティ専門家が「人間心理」を重要な変数としてほとんど考慮しない点も問題で、すべてがチェックリスト式か会社都合で設計されがちな点も問題だ
本来なら適切な製品設計だけで防げるミスなのに、製品・サービス提供者のほうが規制変更に消費者よりずっと積極的なので、改善がなかなか進まない
だから実際には規制強化がセキュリティ向上に役立つと思うが、企業の立場では自社製品やサービスへの規制を誰も歓迎しないという奇妙な状況が起きている
頻繁に再認証を要求するシステムは、実質的にはセキュリティを向上させない（ただし非常に長い期限はやや例外）
まともな認証システムなら、セッション失効や明示的なセッション管理によって権限を即座に剥奪できることが核心だ
実際には、セッション権限を取り消したとき、そのセッションが迅速に完全失効してすべてのアクセス権を失うまでの「遅延」のほうが、再認証周期よりはるかに重要だ
これは認証基盤の構造や、それを構成するシステムが多いほど複雑になる
だから
refresh tokenが必要になる実際のトークンは定期的に失効するが、クライアントには新しいトークンを更新できる機会を別途与える
トークンの失効は、新しいトークンを作れないようブロックする形で制御する
自分も似た考えだ
会社では二段階の認証方式を使っている
1日に1〜2回、ADFS + MFAでkeycloakにログインし、ほとんどのシステムがkeycloakをOIDC providerとして使い、10〜15分間隔でトークンを更新している
そのため面倒な認証手順は通常1日1回で済み、必要ならVPN経由で接続されたサービスへのアクセスを15分以内に全面遮断できる
通常利用時にはこうした変化もほとんど意識しなくて済むのが利点だ
再認証のためではなく、既存トークンの更新だけを定期的に行えばよい
認証（auth）の有効期限と認可（authorization）の有効期限を分離するのが望ましい
頻繁に再認証させると、かえって人は抜け道を探すようになる
パスワードを紙に書いておいたり、Google Docsに記録したり、YubiKeyにArduino+サーボモーターを付けたり、SMSをメールに転送したり、TOTPコードをWeChatに送ったりと、あらゆる「裏技」が生まれる
結局、不便な認証ポリシーが厳しくなるほど、ユーザーはコンピューターを少しでも思い通りに使うために、より危険な回避策を探すというジレンマになる
記事には「今では大半のOSで指紋や顔認証によるロック解除が可能なので、席を離れるときに画面ロックをかけない理由はない」という趣旨の一文があるが、現実にはワークステーション（デスクトップPC）では当てはまる範囲が非常に限られている
30年間現場サポートをしてきたが、指紋認証リーダー付きのデスクトップは1台しか見たことがない
カメラもほとんどなく、今管理している5拠点のPCのうち、カメラ付きのコンピューターは2％にも満たない
顔認証には、ユーザーに不快感を与える追加要因もある
私たちはすでに、同意なく密かに行われる顔認証（監視カメラ、学校・会社・警察など）によって不信感を強めており、それに伴う不快感は正当なものだと思う
機器が自分の所有物であっても、ソフトウェア企業は実際には道徳的な限界なしに自分の権限を侵食する形で設計している
だからワークステーションにはセキュリティキーのほうが適していると思う
業界のITセキュリティポリシーは、「IBMを買って使った人はクビにならない」という発想と同じで、みんな他人がやっていることをそのままたどって動いている
実際にシステムが壊れていようといまいと重要ではなく、「本に書いてあるとおりに」やったことのほうが重要だ
しかもその本（標準）は30年前に作られた、ひどく出来の悪いものだ
そのせいで、情報セキュリティ責任者に3か月ごとのパスワード変更は不要だと納得させるには、途方もないエネルギーが要る
ある顧客企業では、すべてのシステムに30分のセッション制限がかかっている
Jira自体ももともと嫌いだったのに、チケットを1つ見るたびに毎回ログインしなければならず、とても不便だ
そのせいで仕事の代わりにHacker Newsばかり見てしまう悪循環になる
最近はそれでも、大半のサービスが作業内容をキャッシュしてくれるので助かる
SSOという名前は「SINGLE sign on」なのに、実際には延々と認証を繰り返し要求してくる
なぜ1日に何百回もSSO認証を求めるメッセージを見なければならないのか疑問だ
携帯電話は紛失・盗難のリスクがあるのでまだ分かるが、デスクトップは依然として共有PC（たとえば図書館）でログアウトせずに席を離れることが多く、この点を多くのユーザーは認識していない
自分の記憶では、SSOの意味は複数のシステムに単一のIDでログインすることであって、ログイン行為そのものを一度しかしないという意味ではなかったと思う