ゼロトラスト世界における生体認証の未来

自撮り写真、偽造パスポート、指紋から DNA まであらゆるものを保持するデータ ストアへのサイバー攻撃から得られた生体認証データは、長年にわたってダークウェブでベストセラーとなってきました。 追跡不可能でありながら、攻撃者が被害者が持つ最も貴重な情報にアクセスできるようにする非常に強力な手段であるため、攻撃者はその手法を競って微調整し、より高度な攻撃のための合成 ID 詐欺を生み出しています。

しかし、生体認証データを保護するための現在のアプローチは不十分です。 Gartner によれば、「生体認証には、他の資格情報ベースの方法に比べて独自の利点がありますが、新たな攻撃とプライバシーに関する懸念が導入の障壁となっています。」 彼らの生体認証に関する最近の研究では、「生体認証を弱体化させたり、認証を無価値にする可能性のある AI を利用したディープフェイク攻撃についての懸念が高まっている」と述べられています。

昨年、Zscalerの最高経営責任者（CEO）Jay Chaudhry氏は、同社のZenith Live 2023イベントで、インドに拠点を置く同社の事業から資金を搾取するための自分の音声のディープフェイクが攻撃者によって作成され、起動されたと聴衆に語った。 VentureBeat は、昨年、大手サイバーセキュリティ企業に対するディープフェイクと生体認証ベースの侵害の試みが十数件あったことを把握しています。 これらは非常に蔓延しているため、国土安全保障省は「ディープフェイク ID の脅威の増大」という対策ガイドを提供しています。 あらゆる形式の生体認証データは、すでにダークウェブ上でベストセラーになっています。 2024 年には、企業リーダーを狙った生体認証ベースの攻撃がさらに増えることが予想されます。

攻撃者がまず上級幹部に焦点を当てる理由

CEO および上級管理職のほぼ 3 人に 1 人が、同じリンクをクリックするか送金することによってフィッシング詐欺の被害に遭っています。

Ivanti の 2023 年セキュリティ準備状況報告書によると、経営幹部は他の従業員に比べてフィッシングの被害に遭う可能性が 4 倍高いため、生体認証攻撃やディープ フェイク攻撃の主な標的となっています。 Ivanti は、ホエール フィッシングが数千の企業の経営幹部を攻撃する最新のデジタル流行であることを発見しました。

「2024 年には、セキュリティ、プライバシー、デバイスの相互作用、社会の相互接続性の向上に重点を置いた、より厳格な標準に対する需要が高まるでしょう。 どこにいても、どんなデバイスでも接続できるという期待は高まるばかりです。 組織は、従業員が期待するこのあらゆる場所での接続を実現するために、適切なインフラストラクチャが整備されていることを確認する必要があります」と、Ivanti の最高製品責任者である Srinivas Mukkamala 氏は最近のインタビューで VentureBeat に語った。

目標: 生体認証を改善してゼロトラスト世界を確保する

「私たちが Badge を設立したとき、私たちの使命は、紛失または盗難の可能性があるハードウェア デバイスに依存するのではなく、デジタル ID の信頼のアンカーを人間に移すことで、認証における最も困難な問題の 1 つを解決することでした。」とティナ P. スリバスタヴァ氏は述べています。 Badge の共同創設者は最近のインタビューで VentureBeat に語った。

「セキュリティ侵害で自分のアイデンティティを失った後、私たちは基本に戻りました。 私たちは数学に頼って問題を解決し、暗号化を使用してユーザーをデバイスやトークンではなく自分自身の信頼のルートにするユーザー中心のソリューションを構築しました。 Badge を使用すると、あなたはあなたのトークンになります」と彼女は説明しました。

世界中でより優れた生体認証セキュリティに対するニーズの高まりに応え、Badge Inc. は最近、個人識別情報 (PII) と生体認証資格情報のストレージを廃止する特許取得済みの認証技術の利用可能性を発表しました。 Badge はまた、Okta との提携も発表しました。これは、共通の企業顧客向けの ID およびアクセス管理 (IAM) の強化を目的とした一連のパートナーシップの最新のものです。

Srivastava 氏は、自社の生体認証へのアプローチにより、パスワード、デバイスのリダイレクト、知識ベース認証 (KBA) がどのように不要になったかを説明しました。 Badge は、企業の多くの脅威の表面とデバイスにわたって拡張できる、一度登録して任意のデバイスで認証するワークフローをサポートしています。 Srivastava 氏は、生体認証に対する自社の独自のアプローチにより、登録した同じ人間が、特定のリソースやデバイスを使用するために認証を行っているのと同じ人間であることを証明できると述べています。 「そこで、Badge で私たちが考え出したのは、秘密をどこにも保存せずに、デバイス間で ID を共有する方法です」と彼女は言いました。

Badge のアプローチが注目に値するのは、あらゆる形式の生体認証データを含む PII を攻撃から保護しながら、ゼロトラストの基本要素をどのように強化しているかです。 このプラットフォームの中核は、ユーザー シークレットや PII を保存せずに、あらゆるデバイス上のあらゆるアプリケーションに対するプライバシーを保護する認証です。 Badge の特許取得済みテクノロジーにより、ユーザーはハードウェア トークンやシークレットを必要とせずに、生体認証と選択した要素を使用してオンザフライで秘密キーを導出できます。 現在、Badge には、銀行、ヘルスケア、小売、サービスなど、幅広い業界に顧客がいます。

Badge がゼロトラストの強化にどのように役立つか

Srivastava 氏は、VentureBeat との最近のインタビューで、Badge のテクノロジーがいかにゼロトラストの中核であるかを説明しました。 同氏は、Badge がユーザーの秘密や個人を特定できる情報 (PII) を保存しないことでデータ アクセスを最小限に抑え、潜在的な侵害の影響を軽減し、最小権限アクセスを強化する方法を説明しました。

また、Badge が生体認証セキュリティに対して採用しているアプローチから明らかなのは、多要素認証 (MFA) を強化する可能性がいかに強力であるかということです。 Srivastava 氏は、ユーザーはハードウェア トークンやシークレットを使用せずに、生体認証などの独自の要素を使用して認証できると説明します。 Badge はパートナーシップを通じて企業にもスケールアウトし、ゼロトラスト フレームワークの価値をさらに高めています。 Okta と Auth0 に関する最近の発表は、より広範な IAM プラットフォームと技術スタックの一部として Badge の重要性が高まっていることをさらに実証しています。

Srivastava 氏はまた、VentureBeat Badge は暗号的にゼロ知識ベースで動作し、機密データを扱う当事者を信頼せず、将来も保証されるセキュリティのための量子耐性を提供すると語った。 これにより、Badge のテクノロジーはあらゆる組織のゼロトラスト アーキテクチャに確実に貢献するものとなります。 「Badge には、消費者と企業の両方のユースケースに対応する魅力的なテクノロジーがあります」と、国立標準技術研究所 (NIST) の元上級顧問であるジェレミー グラント氏は述べています。