IAMが街灯の下を探し続ける理由
以下のような昔からのジョークがあります。
男が街灯の下で何かを探しています。
女：何を探しているのですか？
男：鍵です。
女：どこで失くしたのですか？
男：あそこです。
女：それでは、あちらを探したらどうですか？
男：ここが明るいから、よく見えるのです。
面白いですよね？しかしこれは、アイデンティティ・アクセス管理（IAM）業界がどのようにセキュリティに取り組んでいるかを示す完璧な隠喩でもあります。
IAMにおける街灯効果
認証に関して言えば、ほとんどのベンダーは、簡単で目に見えるもの、つまりスマートフォンを帯域外（OOB）認証器として使用することに重点を置いています。その理由として、アプリを作り、通知をプッシュするのは簡単だからです。スマートフォンは”街灯の下”です。ベンダーは、複雑なOSの内部に触れることなく、エクスペリエンスをコントロールすることができます。
しかし、その鍵はどこで紛失したのでしょうか？エンドポイントとセッションでです。本当の攻撃はそこで起こります：
- セッション・ハイジャック
- トークン盗難
- 中間者攻撃
このゾーンを保護するには、エンドポイントとサーバー間の通信を遮断して保護し、継続的に信頼を確立し、デバイス自体にアイデンティティを固定するという、強度な統合が必要です。より難しく、より分かりにくくなります。だから業界は街灯の下を探し続けています。
なぜこれが重要なのか
私たちは、認証が強力に始まるが、ログイン後は衰退する世界を構築してきました。一旦セッションが始まれば、ユーザーは自己責任となります。攻撃者はこれを知っており、悪用しています。
より良い前進のために
MagicEndpointとセキュアインターネットのビジョンは、このモデルを反転させる：
- エンドポイントに固定されたアイデンティティ（スマートフォンだけではない）
- エンドポイントとIdP間の持続的信頼チャネル
- セッション中の継続的な検証
街灯の下で探すのではなく、鍵が失われた場所に行く。確かに難しいですが、本当の問題を解決することができます。
人生と同様、セキュリティにおいても、すべては相対的なものです。しかし、単純に選んだ方が良い道の場合もあります。
