ゼロトラストはデバイス検証から始まる

ゼロトラストアーキテクチャは、シンプルな原則の上に成り立っています。決して信頼せず、常に検証する、という原則です。しかしほとんどの実装は、ユーザーの検証、すなわちそのアイデンティティ、権限、認証要素に焦点を当てる一方で、彼らが使っているデバイスを無視しています。これは、入口で誰かの身分証を確認しても、その人が盗難車で到着したことに気づかないようなものです。

デバイスの盲点

典型的なゼロトラスト構成を考えてみましょう。ユーザーが認証情報で認証し、MFAを完了し、セッショントークンを受け取ります。システムはその人が誰であるかは検証しますが、何を使っているかは検証しません。攻撃者がセッショントークンを盗み、別のデバイスからそれを再送した場合、ほとんどのシステムはそれを受け入れます。正規ユーザーのデバイスが侵害され、man-in-the-browser攻撃を実行している場合、システムはデバイスを一度も検証していないため、それを検知できません。

デバイス検証がこのギャップを埋めます。すべてのセッションに対して持続的なデバイスフィンガープリントを生成することで、セッショントークンが別のデバイスに移動したとき、既知のユーザーが見慣れないデバイスに現れたとき、あるいはデバイスが侵害に関連する特性（VPNの使用、シークレットモード、ブラウザの改ざん）を示したときに検知できます。

デバイス信頼スコアリング

すべてのデバイスが同じレベルの信頼に値するわけではありません。以前に確認されたことがあり、一貫した特性を持ち、見慣れた場所からアクセスするデバイスは、高い信頼に値します。新しく、VPN経由で動作し、シークレットブラウザで、自動化の兆候があるデバイスは、非常に低い信頼に値します。

当社のSmart Signals分析は、次の要素を考慮した包括的なデバイス信頼スコアを生成します。ハードウェアの安定性（デバイスフィンガープリントは以前に確認されたか）、環境シグナル（VPN、プロキシ、Tor、シークレットモード）、改ざん指標（偽装されたユーザーエージェント、改変されたcanvas、不整合なWebGL）、そして挙動パターン（リクエストのベロシティ、ナビゲーションのパターン、インタラクションのタイミング）です。

段階的認証

デバイス信頼スコアは、動的な段階的認証を可能にします。すべてのアクセスに対して同じ認証要素を要求する代わりに、デバイスのリスクプロファイルに基づいて要件を調整できます。

低リスク（既知のデバイス、見慣れた場所、異常なし）：長いセッションでパスワードのみのログインを許可します。中リスク（新しいデバイス、見慣れた場所）：MFAを要求します。高リスク（新しいデバイス、VPN、シークレット、高ベロシティ）：MFAに加えて追加の検証（メール確認、セキュリティ質問）を要求します。クリティカルリスク（ボット指標、改ざんの検知）：リクエストを完全にブロックします。

このアプローチは、ユーザー体験を損なうことなくセキュリティを向上させます。通常のデバイスを使う正規ユーザーは認証をすんなり通過し、一方で疑わしいセッションは適切な摩擦に直面します。

継続的なデバイスモニタリング

ゼロトラストは一度きりのゲートチェックではなく、継続的な検証です。当社のシステムは、ログイン時だけでなく、セッションを通じてデバイスの特性をモニタリングします。正規のデバイスで開始されたセッションが、セッション中に何らかの形で別のデバイスに移された場合（トークンの盗難を示します）、その変化を即座に検知します。

当社はまた、侵害を示し得るデバイス特性の変化もモニタリングします。突然のVPNへの切り替え、ブラウザ開発者ツールの起動、あるいは自動化フレームワークのアーティファクトの出現などです。これらのセッション中の変化はアラートをトリガーし、セッションのリスクレベルを自動的に引き上げることができます。

実装

デバイス検証をゼロトラストアーキテクチャに統合するのは、tracio.aiを使えば簡単です。当社のJavaScriptエージェントを認証ページや重要なアプリケーションページに追加します。サーバー側では、セッショントークンを検証する際にデバイスフィンガープリントと信頼スコアをチェックします。信頼スコアを使って段階的認証の判断を駆動します。

ほとんどのチームにとって、統合は1日未満で完了します。JavaScriptエージェントが加えるレイテンシは50ms未満です。サーバー側APIは10ms未満でデバイスインテリジェンスを返します。その結果は、ユーザーとデバイスの両方を真に検証するゼロトラスト実装です。