MS_PasswordlessUserExperience

PasswordlessのUserExperience

• 戻る（Web Authentication API）
  • PasswordlessのUserExperience
  • 2FAのUserExperience
  • WebAuthnを実装する。

概要

Passwordless（主に、WebAuthn）の
UX(User Experience) を考える。

詳細

Yahoo! JAPAN

• パスワード・レスの、SMS などでのログインを開始

LINE

• FIDO を活用した LINE のサービスへのログイン

補足（パスワードレスには 2 系統ある）: 本ページの 2 つの用例は、
実は方式が異なる。

方式	例	性質
所持だけを確認（マジックリンク、SMS ワンタイム）	Yahoo! JAPAN の SMS ログイン	実装が容易だが、中継フィッシングに弱い
鍵で署名（FIDO / WebAuthn）	LINE の FIDO 対応	オリジンに紐づくためフィッシング耐性がある

「パスワードを入力しない」という UX は同じでも、
守れる脅威が違う点に注意する。

補足（現在はパスキー）: 本ページ執筆当時（2019 年）の WebAuthn は
鍵が 1 台の端末に閉じていたため、端末を替えると再登録が必要で、
それが普及の壁になっていた。
その後 **パスキー（Passkey）**として、
OS のアカウント経由で鍵を同期する（マルチデバイス対応の）方式が
Apple / Google / Microsoft の 3 社で足並みを揃えて実装され、
パスワードレスが現実的な選択肢になった。
参考にある ritou 氏の記事が論じている
「アカウントリカバリーの考え方」は、この同期によって
大きく緩和された論点である。

参考

ritou

r-weblife

• 【ゆるゆるとパスワードレスなUXを検討】

  • (1) WebAuthn Authenticator の登録
    https://ritou.hatenablog.com/entry/2018/10/11/030514
  • (2) WebAuthn Authenticator でログイン
    https://ritou.hatenablog.com/entry/2018/10/15/011552
  • (3) 新規アカウント作成時に WebAuthn Authenticator の登録
    https://ritou.hatenablog.com/entry/2018/10/31/133345

• メアドなどのスクリーニング対策を意識しつつ
  WebAuthn のログインフローを考える
  https://ritou.hatenablog.com/entry/2018/12/31/183314

Qiita

• パスワードを利用せず、メール送信などでログインさせる方法を考えてみた
  https://qiita.com/ritou/items/29ee794c9efb85317fcd

• WebAuthn など新しい認証方式を受け入れる際の「アカウントリカバリー」の考え方
  https://qiita.com/ritou/items/20679287600b61b124fc

本 Wiki 内

• 2FAのUserExperience
• Web Authentication API
• FIDO
• WebAuthnを実装する。

---

Tags: IT国際標準, 認証基盤