デバイスの生体認証を使ったパスワードレス認証向けに WebAuthn を設定する

デバイスの生体認証を使ったパスワードレス認証向けに WebAuthn を設定する方法を説明します。

Universal Login を設定すると、ユーザーはパスワードの代わりにデバイスの生体認証を使った WebAuthn で認証できるようになります。

デバイスの生体認証を使った WebAuthn は、現在利用できる認証要素の中で最も安全かつ使いやすい方式であり、セキュリティを損なうことなくログイン時の手間を大幅に減らせます。

この機能を使用するには、Auth0 のデータベース接続が必要です。データベース接続を選択するには、Auth0 Dashboard > Authentication > Database に移動してください。詳しくは、Database Connections を参照してください。

​

前提条件

WebAuthn Device Biometrics で パスワードレス を有効にするには、以下を満たしている必要があります。

1. Universal Login エクスペリエンスが有効になっており、ログインページの HTML が Dashboard > Universal Login でカスタマイズされていないことを確認します。
2. Dashboard > Authentication Profile で Identifier First + Biometrics を選択します。これにより、まだ有効になっていない場合は、多要素認証セクションで WebAuthn with Device Biometrics を有効にする 設定が自動的に有効になります。
3. custom database connection を使用している場合は、Import Mode が On に設定されていることを確認してください。設定されていない場合は、同じ効果を得るために getUser script を実行することもできます。

​

仕組み

ユーザー名/メールアドレスとパスワードで認証し、デバイスの生体認証を使った WebAuthn に対応しているデバイスを使用しているユーザーには、そのデバイスを登録するオプションが表示されます。

この機能を有効にすると、[このデバイスでより速くログイン] ダイアログ ボックスに、ユーザー向けのいくつかの選択肢が表示されます。ユーザーはデバイスを登録するか、登録をスキップして今後の表示回数を減らすかを選択できます。

Option	Description
Continue	ユーザーに生体認証要素の登録を求めます
Remind me later	登録をスキップし、2 週間後に再度登録を促します
Not on this device	1 年間、または Auth0 の Cookie がユーザーのブラウザーに保存されている間は、登録を促しません

ユーザーがデバイスの登録を行うと、そのデバイスから次回認証する際に、デバイスの生体認証またはパスワードでログインするオプションが表示されます。

この機能は「段階的登録 (progressive enrollment) 」と呼ばれ、開発者とユーザーの双方にとって、WebAuthn ベースの認証への移行をできるだけ簡単にするよう設計されています。

​

多要素認証

デバイスの生体認証を使った WebAuthn を使用すると、多要素認証のために別の認証方法を求める必要がなくなります。デバイスの生体認証を使った WebAuthn では、2 つの要素を 1 つにまとめて使用できます。つまり、所持しているもの (デバイス) と、本人そのものであるもの (生体認証) または知っているもの (パスコード) です。

これには、次のような影響があります。

• ダッシュボードで MFA を有効にした場合、ユーザーが第 1 要素として WebAuthn w/Biometrics で認証していれば、Auth0 は MFA を要求しません。

• MFA が有効な状態でユーザーが新しいアカウントを作成すると、次のことを行います。

  • ユーザー名とパスワードでユーザーを作成します。
  • 生体認証以外の認証方法で MFA に登録し、どのデバイスでも MFA を完了できるようにします。
  • 必要に応じて、デバイス生体認証にも登録します。

次回ログイン時には、パスワード + 別の認証方法、またはデバイス生体認証でログインできます。

• ユーザーが WebAuthn Biometrics のみを認証方法として使用した場合、ID Token の amr 値は mfa に設定されます。
• 当社の拡張性プラットフォームから MFA を有効にする場合は、ユーザーがどのように認証したかを考慮して、MFA を要求するかどうかを判断できます。以下のルールでは、ユーザーが webauthn-platform 認証方法で認証していない場合にのみ MFA を実行します。

javascript

function (user, context, callback) {
  let authMethods = context.authentication.methods;

  const amr = authMethods.find((method) => method.name === 'webauthn-platform');

  if (!amr) {
    context.multifactor = {
      provider: 'any',
      allowRememberBrowser: false
    };
  }
  return callback(null, user, context);
}

このログイン後のアクションでも同じ効果があります:

javascript

exports.onExecutePostLogin = async (event, api) => {
  let authMethods = event.authentication.methods;

  let amr = authMethods.find((method) => method.name === 'webauthn-platform');

   if (!amr) {
     api.multifactor.enable('any');
  }
};

​

デバイス認識

Auth0 はルールを使用して、デバイスがすでに登録済みかどうかを判断し、ユーザーに登録を促します。詳しくは、記事 Configure WebAuthn with Device Biometrics for MFA の Device recognition を参照してください。

ユーザー列挙攻撃を防ぐため、Auth0 が第1要素として生体認証を求めるのは、ユーザーが既知のデバイスからログインしている場合に限られます。そうでない場合は、パスワードでログインする必要があります。

例:

• ユーザーが Windows の Chrome からログインし、Windows Hello に登録している場合、Auth0 は登録情報の一部として、そのユーザーが Windows デバイスから登録したことを把握し、ユーザーエージェントを識別するための「既知のデバイス」を保存します。
• 次回そのユーザーが Chrome からログインすると、パスワードの代わりに Windows Hello の使用を求められます。
• その後、ユーザーが Windows の Firefox からログインした場合は、「既知のデバイス」cookie が存在しないため、パスワードでログインする必要があります。すでに Windows Hello に登録しているため、再度登録を求められることはありません。
• 次回そのユーザーが Firefox からログインすると、Windows Hello の使用を求められます。

これにより、ユーザーがアカウントを持っているかどうか、またはサイトへの認証に WebAuthn のデバイス生体認証を使用したかどうかを、攻撃者に知られることはありません。

​

Webauthn.me

Auth0 は webauthn.me を運営しており、WebAuthn に関する詳細情報や、WebAuthn をサポートしているブラウザーの最新一覧を確認できます。

​

詳しく見る

• Universal Login でパスワードレスを設定する
• パスワードレス認証用のメールまたは SMS を設定する
• MFA 用にデバイスの生体認証を使った WebAuthn を設定する
• WebAuthn による FIDO 認証