パスワードを預からない「Braveアカウント」登場　認証の常識が変わる？

　広告ブロック機能を備えたブラウザーで知られるBraveは8月27日、新たな認証基盤「Braveアカウント」の提供を開始した。ユーザーが入力したパスワードを、暗号化やハッシュ化した状態を含めて、サーバーに一切送らないことが特徴。

　一般的なパスワード認証では、通信自体をTLSで暗号化していても、サーバー側では認証処理のためにパスワードを扱う必要がある。Braveアカウントは暗号プロトコル「OPAQUE」を採用することで、パスワードを明かさずに、正しいパスワードを知っていることを証明する仕組みだ。

　これにより、Brave側からパスワードを盗む攻撃経路を減らすことができる。認証サーバーに平文のパスワードが届かないため、設定ミスでログに残ったり、サーバーのメモリから抜き取られたりするリスクを抑えられるという。パスワードデータベースが流出した場合の大規模な解析攻撃にも強くなる。

　ただし、偽サイトに入力してしまうフィッシングはOPAQUEだけでは防げず、「123456」のような弱いパスワード自体が強くなるわけでもない。Braveでは強いパスワードの利用を推奨している。

　GoogleやAppleなどがパスキーを推進し、パスワードそのものをなくす方向に進んでいく一方、Braveは残るパスワードをサーバーに渡さないという別のアプローチを取ってきた形だ。

■関連サイト

• ニュースリリース