# メール・パスワード不要の登録と認証 **URL:** \ **Category:** Feature\ **Created:** [2021 年 10 月 31 日午後 5:19 UTC](https://meta.discourse.org/t/email-less-and-password-less-registration-authentication/207737 "2021-10-31T17:19:45Z")\ **Posts on this page:** 1\ **Showing post:** 1
**Author:** ![Be0](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/be0/32/238518_2.png) [@Be0](https://meta.discourse.org/u/Be0)\ **Post date:** [2021 年 10 月 31 日午後 5:19 UTC](https://meta.discourse.org/t/email-less-and-password-less-registration-authentication/207737/1 "2021-10-31T17:19:45Z")
パスワードのセキュリティ上の問題と使い勝手の悪さはよく知られています。パスワードは「知っているもの」であるため、忘れやすく、その発生頻度も高いです。そのため、パスワードのリセット用バックアップとしてメールが広く利用されています。 しかし、メールにも多くの問題があります。パスワードと同様に、人々は多くのサービスで同じメールアドレスを再利用する傾向があり、そのサービスからメールアドレスが漏洩した場合、プライバシーリスクが生じます。また、個人情報を入力せずにメールアドレスを取得することは、ますます困難になっています。スパム対策（おそらくはユーザーへの広告ターゲティングを容易にするためにも）として、無料メールサービスは通常、特定の個人と簡単に紐付けられる電話番号の入力を義務付けています。有料メールサービスでは電話番号が不要な場合もありますが、個人情報なしで有料サービスを利用するのは難しく、また有料メールサービスの契約に依存することは、経済状況の変化に対して脆弱です。さらに、現在ではメールサーバーを自分で信頼性高くホストすることも困難です。プライバシーの問題に加え、多くのサービスで同じメールアカウントを再利用することによる集中化は、そのメールアカウントが侵害された場合に他の多くのアカウントも同時に侵害されるというセキュリティリスクを生み出します。 現在、サービスに登録したり認証したりするために、パスワードもメールも必要ありません。Discourse はすでに FIDO と TOTP をサポートしていますが、登録と認証には依然としてパスワードとメールアドレスが必要です。Discourse が FIDO と TOTP を優先し、パスワードとメールアドレスをオプション化できれば素晴らしいでしょう。 FIDO を用いたワンファクタ認証は非常に便利ですが、パスワードのみで登録しメールを登録しない場合と同様に、単一の FIDO トークンの紛失や破損に脆弱です。これを解決するため、ユーザーには登録時に少なくとも 2 つの認証要素（FIDO、TOTP、パスワードの任意の組み合わせ）の提供を義務付けることを提案します。メールもパスワードも使わない認証を希望するユーザーは、YubiKey のような 2 つの FIDO ローミング認証器を登録するだけで済みます。また、アカウントへのアクセスを失わないよう、ユーザーには最低限の 2 つ以上の認証要素の登録を推奨する（特に管理者に対しては義務付ける）べきです。 近年、Windows Hello、Apple Touch ID & Face ID、Android などのデバイスに FIDO プラットフォーム認証器が組み込まれることが増えているため、YubiKey などの専門的なローミング認証器ハードウェアを持たない非技術的なユーザーでも、このメール不要の登録システムを利用可能になります。ユーザーは FIDO プラットフォーム認証器とパスワードを組み合わせて登録できます。このような設定であれば、FIDO プラットフォーム認証器によるワンファクタ認証もシームレスに機能します。しかし、新しいデバイスでの認証において、そのデバイスに FIDO プラットフォーム認証器が用意されていない場合、使い勝手の問題が生じます。また、新しいデバイスのセットアップにパスワードのみを頼ることは安全ではありません。これを解決するため、Matrix が新しいクライアントを認証する際のワークフローに似た仕組みを提案します。ユーザーは、新しいデバイスでそのデバイスの FIDO プラットフォーム認証器（新しい要素）と、既に登録済みのパスワード（既存の要素）を使ってログインを試みます。これにより実際にログインはしませんが、アカウント内で新しい FIDO 認証器の承認をリクエストする状態になります。その後、新しいデバイスの UI は、既に登録済みのデバイスにログインして新しいデバイスを承認するようユーザーを案内します。FIDO プラットフォーム認証器がモバイルデバイスに組み込まれていることを活用すれば、専門的なローミング認証器ハードウェアを必要とせず、また公共のキオスクのような任意のデバイスを利用する能力を犠牲にすることなく、実用的で安全な認証が可能になります。 私は昨日 YubiKey を受け取った後、この匿名登録・認証システムを思いつきました。これを実装しているシステムは存じ上げません。Discourse のような成熟しており、すでに広く展開されている Web アプリケーションが、インターネット利用にメールやその他の個人識別情報の必要性をなくす未来を先導することを心から願っています。 --- _[View the full topic](https://meta.discourse.org/t/email-less-and-password-less-registration-authentication/207737)._