Windows Info 第220回

Windows 10、パスワードなしの世界へ一歩前進

　Windows 10 Ver.2004となる「May 2020 Update（20H1）」がどうやら完成したらしい。先週Slow Ringで公開されたBuild 19041.207がRelease Preview Ringで配信になる。大きな問題が起こらなければ、5月には一般向けの配布が開始される予定だ。

　この20H1の最大の改良点は、WSL2（Windows Subsystem for Linux 2）だ。これに比べると他の改良点はちょっと小粒か“地味”なものだ。しかし、この地味な改良の中にも重要なものもある。それは「パスワードレス」に関する内容だ。

Windows 10のサインイン時に使うPINはWindows Helloの一部で、パスワードよりもセキュリティが高い

Windows 10におけるパスワードレスとは？

　Windowsでは、マルチユーザーに対応したWindows NTからサインイン（世間一般ではログインということが多い）という操作をしてからパソコンが利用できるようになった。それ以前のMS-DOSや初期のWindowsにはそもそもユーザーという概念がなく、電源を入れればDOSやWindowsが立ち上がって、すぐに利用できるようになっていた。

　個人向けのWindowsのサインインが大きく変わったのは、Windows 8からだ。このとき、Windows Liveアカウント（かつてはMicrosoft Passportと呼ばれていたこともあった）を使った現在のMicrosoftアカウントをユーザーアカウントとして登録できるようにした。

　それまで個人ユーザーのアカウントは、Windows 10におけるローカルアカウントの形でしか存在しなかった。Liveアカウントを使うようになったのは、OneDriveとファイルやWindowsの設定を同期させるため、そしてWindowsストアのアクセスに必要なものだったからだ。以後、WindowsのアカウントではMicrosoftアカウントが主流になる。

　しかし、ここでマイクロソフトは大きな問題を抱えることになる。パスワードをMicrosoft側で管理する以上、その管理責任が発生し、世界中のWindowsユーザーの安全のために常にセキュリティを最大限に確保しておく必要があった。これまでマイクロソフトはセキュリティ面では大きな失敗をしたことがなかったが、これからもしないとは限らない。

　また、インターネットユーザーは多くのパスワードを扱わねばならなくなった。ISPの接続パスワード、メールパスワード、さまざまなオンライン販売サイトのパスワードなどだ。ユーザー登録をさせ、会員数が多いことがインターネット上のサービスでは重要な指標となったこともあって、さまざまなサイトで会員登録を要求され、そのたびに管理するパスワードが増えていく。

　そのことが生んだ現実が、「パスワードの使い回し」である。インターネット中にユーザーID（それは多くの場合、メールアドレス）とパスワードの同じ組み合わせが発生することとなった。インターネットにはセキュリティの甘いサイトも少なくない。自分のところは重要な情報を管理しているわけではないし、高いセキュリティなんてお金の無駄と考えたわけだ。しかし、こういうところから流出したメールアドレスとパスワードの組み合わせから、大きな被害を受けるユーザーも発生した。

　そこで今、考えられているのが「パスワードレス」だ。パスワードに変わる認証方法を使い、ユーザーがパスワードを記憶しないでもいいようにすることで、使い回しを防止する。また、サイト側もパスワードを保存しなくてよくなるため、流出や侵入の危険を回避できる。しかし、この取り組みは今始まったばかり。その道のりはそれほど短くはない。

では、20H1でのパスワードレスはどうなる

　20H1では、Windows HelloのPINを登録することで、MicrosoftアカウントのパスワードをPC内に記憶させないことが可能になった。「設定」→「ユーザーアカウント」→「サインインオプション」には、「セキュリティ向上のため、このデバイスではMicrosoftアカウント用にWindows Helloサインインのみを許可する」というトグルスイッチが付いた。

20H1では、PCにMicrosoftアカウントのパスワードを記録せず、サインイン時にPINや指紋認証などWindows Helloだけにするオプションが追加された

　これをオンにすると、サインイン時にパスワードを入れることもできなくなる。サインインにはPINや生体認証のみが使われる。ただし、Microsoftアカウントのパスワード自体がなくなるわけではない。パスワードは依然として残ったままだ。しかし、Windows 10マシンはパスワードを扱わず、このためにMicrosoftアカウントのウェブページを開く場合でもパスワードを使わないようになる。

　このためにマイクロソフトは準備をしてきた。最初のステップは、RS5（Windows 10 Ver.1809。October 2018 Update）で行なわれた。MicrosoftアカウントサイトがFIDO2に対応し、EdgeにWebAuthnという機能が搭載された。この時点で、Microsoftサイトへのアクセスでは、認証にパスワードは使われずFIDO2による認証が可能になった。

　また、19H1（May 2019 Update）では、Windows 10自身がFIDO2に対応した。ここで簡単にFIDO2について解説しておく。FIDO2は、Webサイトのユーザー認証の仕組みであるWebAuthnという仕組みとFIDOアライアンスが定義したCTAP（Client To Authenticator Protocol）からなる。

FIDO2は、公開鍵暗号による電子署名を使い、ユーザー認証をする。このとき秘密鍵は、FIDO2認証器側にあり、外には出ないため、セキュリティが保たれる。指紋や顔認証などの生体認証やPINは、ユーザーの存在を検出してこの認証器を動作させるためのもので、生体認証情報やPINがインターネット側に流れることはない

　WebAuthnは、パスワードなしでユーザー認証をするサーバーとクライアント（ウェブブラウザなど）の仕様を決める。CTAPは「認証器」と呼ばれる認証のためのデバイスとウェブブラウザの間のプロトコルを定める。これを使うことで、ウェブサイトは、パスワードなしの認証をし、ウェブブラウザは、認証器を利用してこれに対応する。

　19H1が実現したのは、Windows 10自体をFIDO2認証器とすることだ。これにより、Microsoftアカウントサイトへのログインは、Windows Helloを使い、パスワードなしでできるようになった。また、スマートフォンもAndroid 7以降ならば、FIDO2認証器として動作可能になっている。この認証器は必ずしもWebAuthnのクライアントと同一のハードウェアである必要がない。このため、キー入力が困難な組み込み系デバイスであっても、BluetoothやNFCを使ってFIDO2認証をすることが可能だ。

　ウェブサイトのアクセスに対して、スマートフォンのGoogle 認証アプリやMicrosoft Authenticatorに確認画面が表示されるのは、このFIDO2を使ったものだ。このときスマートフォンが認証器として動作している。

　そして20H1では、セーフモードのサインインがWindows HelloのPINに対応した。セーフモードは、最小限の機能でWindowsを起動するトラブル対策時のモードで、これまではパスワードでしかサインインできなかった。サインインができないと、BitLockerなどのセキュリティを解除することができず、ファイルへのアクセスができない。

　その上で、可能になったのがパスワードを記憶しない「Window Helloでのみサインイン」する機能だ。