10Yubikeyでもろもろ検証してみました話セキュリティyubikeyWano株式会社で社内のいろいろを担当しているakimiです。2019の10日目の記事にして、わたくし初めてQiitaに投稿する記事となります!2019年10月ごろにYubikeyを購入して検証した内容を綴っていきます。Yubikey検証の目的OSログインとGoogleログイン時の2段階認証目をYubikeyでやりたい!また、検証の目的はログイン簡素化ではなく、従来のID・パスワードログイン後の2段階認証目をYubikeyを使用することで2要素認証を実現、セキュリティ強化を目的としています。Allianceが規格策定と推進を行っている。HPから、様々な企業が参加していることが伺えます。Factorの略で、ID・パスワードの第1認証の後に、セキュリティキーなどによる第2認証を行う規格YubikeyはこちらのU2FにあたるそもそもYubikeyとはなにかね?「ユビ」という言葉が日本人に馴染みがありますね。いった著名人や、「湯引き」なんて言葉もあります。「ユビキー」と初めて聞いたとき、「日本企業のものか...?」と思いましたが、そんなことはない、アメリカ・スウェーデンを拠点とするYubico社が開発したデバイスでした。してだけど、ユビキーって名前はユビキタスから来てるんですかね?誰か教えてください。いうわけで、以下の3つのYubikeyを購入してみました。NFCも購入しました。Yubicoでも事足りそうなので、こちらも一応購入して、さて!早速検証スタート。Windowsログオンというサービスで、その名の通りWindowsログオン時にYubikeyによる2段階認証を提供するソリューションのようです。ちなみにソリューションの総称をYubionと呼ぶみたいですね。Portalというのに登録して試してみました。Portalログイン時にID・パスワードとYubikey認証が必須になっています。【結果】Windowsログオン時の[ID・パスワード+Yubikey認証]が実現可能ですが、無料版ですとWindowsログオン画面で[ID・パスワードのみ]か、[ID・パスワード+Yubikey認証]でログオンするか選択可能な感じでした。有料版だと[ID・パスワード+Yubikey認証]を強制できるみたいですね。いまのところ有料ソリューションを使用する予定がないので断念ですが、非常にスムーズに設定ができたので、追々有料版導入も検討してもいいかも。Managerを使ってYubikeyがCCIDモードになっているか、なっていない場合は有効にする必要があるようですが、このCCIDモードがちょっと前のYubike4とかNeoまでしか対応しておらず、5は非対応とのことでした...断念。やってきたという記事を見つけ、WindowsにMicrosoftアカウントでログインしてればできんじゃね!?ということで試してみました【結果】こちらの記事を参照させてもらいトライ、ブラウザはEdge必須ですが、Yubukeyを使用したMicrosoftアカウントへログインは実現できました!が、ログイン時にYubikeyのみでOKなので2段階認証ではなく簡素化となり、当初の目的と外れてしまったのと、肝心のWindowsログイン時にYubikeyを使用する設定がどこにも見当たらず...しまいにはEdgeからMicrosoftアカウントへのログインも不安定で最終的にYubikeyを使用してできなくなってしまいました...なんだかな~。fileのインストーラをダウンロードするためのメールがまったく届かず・・・「もういいわ!!」となりました。様々なサービスがあるようなのですが、結果的に無料でやるとなるとあと一歩やりたいことまでたどり着けませんでした...。Toolを使用して設定しました。Toolをダウンロード、インストール可能です大まかな設定の流れは以下。mode=challenge-responseこの設定でYubikeyを挿入しないとMacにログインできなくなりましたが、これYubikeyなくした場合はどうなっちゃうんだろう...普通にログインできなくなりますよね。なるとバックアップ用のYubikeyを設定しておかないといけない?全ユーザにそれやるとなると、何個Yubikey必要なんだろ・・・。うーん、あまり現実的ではないし、ローカルにデータを保存しないようにしておけば、OSへのログインはYubikey使わない方向の方がいいかも、Yubikey紛失時に他のバックアップ方法があればOSも考えてもいいかもね!と考えました。各サービス検証メジャーなもので以下を検証してみました。特権管理者で管理コンソールから可能。物理的に挿入する方法ではなく、WindowsやMacのブラウザからYubikeyを使用してGoogleにログインして認証コードを発行、それをiPhoneで入力する必要がある各サービス共にYubikeyを紛失しても、管理者権限で2段階認証を無効にするなどしてバックアップできるのが安心ですね。Suiteの場合は2段階認証の頻度を調整するなど対応が必要ですが、概ねWebサービスへのYubikeyの導入は有効と思いました。私以外のエンジニアにYubikey使ってみてもらったところ、「端末の生体認証などを使用したWebAuthとの併用ができなかった。Bioなるものが発表されていました!!こちらも購入して使ってみよう!ということで、検証結果はまた今度アップしますーー。upLoginユーザーは見つかりませんでした。