Passkey認証診断

Passkey認証特有のセキュリティリスク

WebAuthn、特にPasskeyなどのパスワードレス認証の導入は、関心の高まりや利便性の高さから、近年普及が進んできました。

WebAuthnによるPasskey認証は強固な認証手段ですが、複雑な認証基盤の実装に不備があると、依然としてアカウント乗っ取りを含む従来のセキュリティリスクを払拭できません。

例えば、StrongKey FIDOサーバーにおいて、Non Discoverable CredentialsとDiscoverable Credentials(Passkey)の認証フローの混在時の検証不備により、アカウントの乗っ取りが可能な脆弱性がありました。

参考: https://nvd.nist.gov/vuln/detail/CVE-2025-26788

このように、認証対象の指定が不要であるというPasskeyの特性に起因する新たな問題も発生しています。

Passkey認証に対する脆弱性診断

通常のWebアプリケーション診断では、XSSのような一般的に見られる脆弱性から認証・認可・ビジネスロジックのようなアプリケーション固有の仕様に起因する脆弱性までの範囲において診断を実施します。

しかし、Passkey等の特殊な認証基盤における潜在的な脆弱性は、検出できない場合があります。

GMO Flatt Securityは、Passkeyの認証基盤の実装や認証フローの設計も含めて診断を実施可能です。

また、GMO Flatt Securityでは基本的に*脆弱性診断プロフェッショナルプランにおいて標準でソースコードの分析を実施しています。

これにより、認証結果のみで判断する（ブラックボックス形式）必要はなく、潜在的なセキュリティリスクをも検出可能です。

* アプリケーションが対象ではないプラットフォームの診断や、ソースコードが提供されない場合を除きます

Passkey認証

Passkey認証において注意すべき共通の観点。

Non Discoverable Credentialをサポートする認証

正確にはPasskeyではありませんが、同時にサポートされることのあるNon Discoverable Credentialに関連した観点。