【入門編】多要素認証(MFA)のバイパスとフィッシング耐性 – オフェンシブセキュリティ & リバースエンジニアリング防御ガイド

こんにちは！セキュリティの世界へようこそ。
新人のIT担当者や、これからセキュリティの勉強を始める開発者の皆さん、日々の業務お疲れ様です。

「パスワードを設定しておけば安心！」……そう思っていた時代は、残念ながら少しずつ変わりつつあります。今や、パスワードだけでは簡単に破られてしまうため、多くのサービスで「多要素認証（MFA）」が導入されていますよね。

「よし、これでうちのシステムも安全だ！」と胸をなで下ろしたくなる気持ち、とてもよく分かります。でもちょっと待ってください。実は、そのMFAのやり方によっては、巧妙な泥棒にいとも簡単に突破されてしまう隙があるんです。

今回は、身近な「家の鍵」の防犯にたとえながら、SMSを使ったMFAの弱点と、それを完璧に跳ね返す最新の「フィッシング耐性」を持つ認証方式（FIDO2/WebAuthn）について、一歩ずつ優しく紐解いていきましょう！

—

1. 身近な例えで考える：SMS認証の「本当の姿」

皆さんは、ネットサービスにログインする際、スマホに飛んでくる4桁や6桁の数字（ワンタイムコード）を入力した経験がありませんか？これが「SMS認証」と呼ばれるものです。

これを「家の鍵」にたとえてみましょう。

パスワード： 家のドアの「普通の鍵」。（ピッキングされやすい）
SMS認証（ワンタイムコード）： 警備会社からスマホに送られてくる「今だけ開く合言葉」。

「おっ、合言葉が毎回変わるんだから、すごく安全そう！」と思いますよね。確かに、パスワードを破られただけでは侵入できません。しかし、このSMS認証には、防犯上致命的な弱点があるんです。

それは、「その合言葉は、偽物の玄関（偽サイト）に誘導されても、本物の警備会社にそのまま教えてしまいやすい」という点です。

攻撃者はどうやって突破するのか？（中間者攻撃の罠）

攻撃者は、本物そっくりの「偽のログイン画面」を用意し、あなたをそこに誘導します（これがフィッシング詐欺ですね）。

1. あなたが偽のログイン画面に「パスワード」と「SMSのコード」を入力する。
2. 攻撃者は、あなたの入力した情報をその瞬間に「本物のサービス」へリアルタイムで横流しする。
3. 本物のサービスは、「おっ、本人だな！」と勘違いして、攻撃者に合鍵（セッション）を渡しちゃう。

結果として、あなたは「あれ、ログインできたな」と騙されたまま、攻撃者はまんまとシステムの中に入り込んでしまうわけです。SMSのコードは、人間が目で見て「ここに打ち込む」というアナログな作業を挟むため、偽サイトへの入力を見破るのが非常に難しいのです。

—

2. 救世主登場！「フィッシング耐性」を持つ FIDO2 / WebAuthn とは

そこで登場するのが、今回の主役である FIDO2（ファイドツー） / WebAuthn（ウェブオースティン） という最新の仕組みです。これらは「フィッシング耐性」を持った最強クラスの認証方式と呼ばれています。

またまた家の鍵にたとえてみましょう。

FIDO2やWebAuthnは、スマホの指紋認証や顔認証、あるいはパソコンに挿す「セキュリティキー（YubiKeyなど）」を使ってログインする仕組みです。これは、警備会社から数字をもらうのではなく、「あなた専用の、絶対にコピーできない電子の指紋（公開鍵暗号）」をデバイスに持たせる方式です。

なぜフィッシング詐欺に強いのか？

ここが一番のポイントです。FIDO2の認証器（スマホやセキュリティキー）は、今アクセスしているWebサイトの「住所（ドメイン名）」を自動的に確認します。

本物のサイト： https://example.com
偽物のサイト： https://examp1e.com （数字の1に変わっている！）

もし攻撃者が偽のサイトにあなたを誘導したとしても、FIDO2の認証器は「あれ？ここはいつもと違う住所（偽物）だぞ！」と自動で気づき、鍵（署名）を渡すのを頑なに拒否します。
人間がうっかり偽サイトだと気づかなくても、機械が勝手に嘘を見抜いてブロックしてくれるのです。これぞまさに、究極の防犯システムですよね！

—

3. 開発現場でどう実装する？ WebAuthn の基本

「なんだか難しそうだな……」と思いましたか？大丈夫です！一歩ずつコードや設定を見ていきましょう。

WebAuthnを導入する際、サーバー側（バックエンド）では、ブラウザ（フロントエンド）との間で暗号化されたやり取りを行います。ここでは、PHPなどのサーバーサイドやJavaScriptでどのように扱われるのか、雰囲気を見てみましょう。

フロントエンド（JavaScript）での実装イメージ

ブラウザ側で「新しい認証器（指紋など）を登録してね」とお願いするコードの断片です。

// サーバーから送られてきたチャレンジ（使い捨てのランダムな値）を使って登録を要求
const publicKeyCredentialCreationOptions = {
    challenge: Uint8Array.from("random_challenge_string_from_server", c => c.charCodeAt(0)),
    rp: {
        name: "私たちの安全なサービス",
        id: "example.com", // ここでドメインを厳密にチェック！偽サイトでは一致しません
    },
    user: {
        id: Uint8Array.from("109238", c => c.charCodeAt(0)),
        name: "taro.security@example.com",
        displayName: "セキュリティ太郎",
    },
    pubKeyCredParams: [{ alg: -7, type: "public-key" }], // 暗号アルゴリズムの指定
    timeout: 60000,
    attestation: "direct"
};

// ブラウザのWebAuthn APIを呼び出し、デバイスの生体認証などを起動する
navigator.credentials.create({ publicKey: publicKeyCredentialCreationOptions })
    .then((credential) => {
        console.log("登録成功！公開鍵情報が生成されました:", credential);
        // この credential 情報をサーバーに送信して保存します
    })
    .catch((error) => {
        console.error("登録がキャンセルされたか、失敗しました:", error);
    });

このように、JavaScriptの標準的なAPI（navigator.credentials）を使うことで、OSやブラウザが提供する強力なセキュリティ機能（Touch ID、Face ID、Windows Helloなど）を呼び出すことができます。開発者がゼロから暗号の仕組みを実装する必要はありません。

—

4. インフラ・サーバー側で気をつけるべき設定と防御ヘッダー

WebAuthnや最新の認証方式を安全に動かすためには、Webサーバー側の設定も非常に重要です。特に、ブラウザが安全な文脈（HTTPS）で動作していることを保証しなければなりません。

実際のNginxやApache、あるいはアプリケーションケーパビリティの設定において、以下のセキュリティヘッダーを意識しておきましょう。

# HTTPレスポンスヘッダーの設定例
# HTTPSへの強制（HSTS）
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

# 余計な機能の読み込みを防ぎ、安全なオリジンを保つポリシー
Content-Security-Policy: default-src 'self';

そして何より重要なのは、「ドメインの厳密な管理」です。FIDO2はドメイン単位で結びついているため、テスト環境（localhost）から本番環境（example.com）へ移行する際に、オリジンの設定ミスがあると認証エラーを引き起こします。設定ファイルをいじる際は、必ず以下の点を確認する癖をつけましょう。

# NginxでリバースプロキシやSSL/TLSを設定する際の設定断片例
server {
    listen 443 ssl;
    server_name example.com;

    # 証明書のパス設定（信頼された認証局のものを使用すること）
    ssl_certificate /path/to/fullchain.pem;
    ssl_certificate_key /path/to/privkey.pem;

    # TLS 1.3などのモダンなプロトコルのみを許可し、古い脆弱な通信を遮断
    ssl_protocols TLSv1.2 TLSv1.3;
}

—

まとめ：一歩ずつ、より強固なセキュリティへ

今回は、SMS認証の脆さと、それを克服するフィッシング耐性を持った FIDO2 / WebAuthn の仕組みについて解説しました。

SMS認証： 便利だけど、偽サイトでの中間者攻撃（フィッシング）に弱い。
FIDO2 / WebAuthn： ドメインを自動で判別するため、偽サイトを完全にブロックできる最強の防犯システム。

「いきなり全てのシステムをFIDO2にするのは大変……」という現場もあるかもしれません。だからこそ、まずは管理画面や特権ユーザーのログインから、一歩ずつ導入を進めていくことが大切です。

セキュリティの基本は「疑うこと」と「仕組みでカバーすること」。焦らず、一歩ずつ堅実なシステム作りを学んでいきましょう！