はじめに

Webアプリケーションやクラウドサービスの利用増加に従い、ユーザ自身が扱うパスワードの数も増加傾向にあります。そのため、覚えやすいシンプルなパスワードの利用や、複数のサービスで同じパスワードを使いまわすケースが多発し、不正ログインにつながる場合があります。例えば、Verizon社によるデータ漏洩/侵害調査報告書(2022年)によると、Webアプリケーションに対する攻撃の80％以上が、盗まれた認証情報に起因しているとの調査結果が示されています。
パスワード認証の問題解決策として、生体認証によるパスワードレスログインが近年注目されています。Auth0では、Web Authentication API(通称：WebAuthn)を用いたデバイス生体認証によるパスワードレス認証をサポートしています。WebAuthnとは、W3CとFIDOで策定された仕様であり、公開鍵暗号方式を利用してユーザ認証を行います。ユーザが認証を行う際は、Windows HelloやTouch IDを用いて、デバイス(認証器)自体に登録された生体情報(顔や指紋等)と照合します。認証情報はデバイス側にのみ保存され、サービス側には保存されないため、高度なセキュリティを実現しています。
また、セキュリティ以外のメリットとして、ユーザ側の利便性向上や管理者側の工数削減にも寄与します。例えば、ユーザ側では面倒なパスワード入力をせずにログインができること、管理者側ではパスワードリセット対応が不要になることが挙げられます。
生体認証は非常に魅力的である一方、サービスにおいて1から機能実装するにはハードルが高いです。Auth0では、デバイス生体認証を用いたパスワードレス認証を実現する機能を備えており、ノーコードでの実装が可能です。

本ページでは、Auth0によるデバイス生体認証を用いたパスワードレス認証について、設定方法と実際のログイン動作をご紹介します。

前提

本ページ記載の機能及び設定に関する内容は、2023年2月現在の情報となります。

注意事項

設定

1.　デバイス生体認証を用いたパスワードレスログイン設定

• Auth0管理画面で、[Authentication] > [Authentication Profile]をクリック

• [Identifier First + Biometrics]を選択し、[Save]をクリック

• MFA要素としてデバイス生体認証を有効化する旨のポップアップが表示されるので、[Confirm]をクリック

※[Security] > [Multi-factor Authentication]で「WebAuthn with FIDO Device Biometrics」を有効化している場合、ポップアップは表示されません。

動作確認

デバイス生体認証としてWindows Hello、WebブラウザとしてGoogle Chromeを利用し、パスワードレスログイン動作を確認します。

1.　サインアップ

• Webブラウザでサンプルアプリ(http://localhost:3000)にアクセスし、[Log in]をクリック

• 新規アカウント追加のため、 [サインアップ]をクリック

• メールアドレスを入力し、[続ける]をクリック

• 任意のパスワードを入力し、[続ける]をクリック

• デバイス生体認証の登録を要求されるので、[続ける]をクリック

• デバイスに登録された生体認証が要求されるので、認証を実施

※下記例では、Windows Helloによる生体認証を実施

• 生体認証成功後、[続ける]をクリック

• アプリケーションにログインできたことを確認

2.　ログイン

• アプリケーションからログアウト後、再度[Log in]をクリック

• サインアップ時に登録したメールアドレスを入力し、[続ける]をクリック

• 生体認証を要求されるので、[続ける]をクリック

• 生体認証を実施

• アプリケーションにパスワードレスでログインできたことを確認

おわりに

Auth0の活用により、デバイス生体認証によるパスワードレスログインを簡単に実装できます。セキュリティ面とユーザの使い勝手を向上させる本機能を是非ご利用ください。
Auth0で実現するパスワードレス認証にご興味ある方は、弊社までお問合せください。

参考

• Configure Universal Login with Passwordless - Auth0 docs
• Configure WebAuthn with Device Biometrics for Passwordless Authentication - Auth0 docs
• Auth0 Passwordless Connections機能によるパスワードレスログイン実現