新しいパスキー攻撃が同期された秘密鍵を回復またはフィッシング耐性MFAを回避

最近のパスキー攻撃に関する研究は、セキュリティの重要性を再認識させるものであり、特に企業や個人が使用する認証方法の脆弱性を浮き彫りにしています。パスキーは、フィッシング攻撃に対抗するために設計されていますが、これらの研究は、実際にはその保護が完全ではないことを示しています。特に、Windowsのログ記録の脆弱性は、攻撃者が特権ユーザーを偽装する手段を提供し、企業のセキュリティポリシーを無効化する可能性があります。さらに、Unit 42の研究は、Googleパスワードマネージャーの同期パスキーに対する攻撃が、ユーザーの秘密鍵を回復する手段を提供することを示しています。これにより、攻撃者はユーザーのアカウントにアクセスできるようになります。これらの脆弱性は、企業が採用するセキュリティ対策の見直しを促すものであり、特にZero Trustモデルの導入が重要です。今後、企業はパスキーの実装において、より厳格なセキュリティ基準を設ける必要があります。また、ユーザーは、パスキーの使用に際して、常に最新のセキュリティパッチを適用し、エンドポイントの保護を強化することが求められます。これにより、攻撃者が利用できる脆弱性を最小限に抑えることができるでしょう。