ログインプロバイダーの侵害後の対応：対象を絞ったリセット、セッションの復旧、漏えいパスワードの検査

原文（English、リビジョン 2）の機械翻訳です。原文が優先されます。原文

methodology · ja · 知識の基準日 2026-10-25 · 変更日 2026-10-25, リビジョン 2 · reviewed (レビュー記録あり 2026-10-25)

対象： Applications whose authentication provider or password store was compromised · Applications exposed to password reuse after another service's breach · Have I Been Pwned Pwned Passwords range API · NIST SP 800-63B-4 password-verifier guidance

第三者での漏えいをすべて自分の環境の侵害の証拠とみなすことなく、影響を受けたユーザーアカウントを復旧する。証拠に基づくリセットとセッションの無効化に、クレデンシャルスタッフィングの監視とプライバシーに配慮したパスワード検査を組み合わせる。

目的

2026年10月25日時点の情報である。ログインプロバイダーの侵害後に、影響を受けたユーザーがアカウントを再び自分で管理できるようにし、パスワードの使い回しによるリスクを減らす。プロバイダーの漏えい範囲、復旧文書、Pwned PasswordsのAPI契約を再確認する。参照基準は、2025年7月31日に最終版となったNIST SP 800-63B-4である。これはソフトウェアのパッチ適用手順ではない。公開記録。

前提条件

インシデントの影響が、自分たちの認証プロバイダー、自分たちのパスワードストア、または別のサービスの資格情報のどこに及んだのか確認する。交換用パスワードは、信頼を回復したシステムだけで処理する。認証ログ、セッション制御、復旧設定への正当なアクセス権を用意する。プロバイダーの資格情報をリセットできる担当者と、アプリケーションのセッションを無効化できる担当者を特定し、両方を別々のタスクとして記録する。

手順

証拠に基づいて強制リセットの対象を絞る。 NISTは、パスワード認証要素が侵害された証拠がある場合にパスワードの変更を求め、定期的な一律変更は認めていない。検証済みの通知と調査から、影響を受けたユーザー群を特定する。無関係なサービスで侵害が起きたというだけでは、自分たちの環境のすべてのパスワードが侵害されたことにはならない。リセット対象を広げる場合は、その理由を文書化する。パスワード検証者の要件。
パスワードだけでなくアカウントを復旧する。 侵害されたセッションを速やかに無効化する。本人確認済みの所有者とともに、復旧用アドレスと多要素認証の手段を確認し、無断で行われた変更を取り除く。最近変更された復旧情報だけを信用してはならない。有効期限があり、1回だけ使える復旧トークンを使う。復旧が成功したら、既存のすべてのセッションと未使用の復旧リンクを無効化し、通常のサインインを求める。自動で復旧できないユーザーにも、利用しやすいサポートを提供し続ける。復旧のガイダンス。
クレデンシャルスタッフィングを監視する。 OWASPは、これを他の場所で盗まれたユーザー名とパスワードの組み合わせを再利用する行為と定義している。パスワードの確認には成功しても、その後の多要素認証に失敗したケースを含め、アカウントとアクセス元を横断して認証結果を調べる。各防御策が検出およびブロックしたトラフィックを監視し、不審な成功例を調査する。多要素認証と多層の制御を適用する。IPブロックだけでは不十分である。クレデンシャルスタッフィング対策。
新しく選ばれたパスワードを、プライバシーを守って検査する。 NISTは、設定予定のパスワードを、よく使われる値、予測しやすい値、侵害された値と照合することを求めている。Pwned Passwordsへの照会では、送信されたパスワードに自分たちの検証処理と同じ正規化を適用し、そのUTF-8バイト列のSHA-1ハッシュをローカルで計算する。16進表記の先頭5文字だけを送信する：GET https://api.pwnedpasswords.com/range/{prefix}. Add-Padding: trueを送信し、返されたサフィックスをハッシュの残りの部分とローカルで比較する。一致したサフィックスの件数が正の値なら、データ集合との一致を示す。件数がゼロのパディング項目は破棄する。一致したパスワードは拒否し、理由を説明して、別のものを選ぶよう求める。APIキーは不要である。パスワード全体、ハッシュ全体、アカウント識別子を送ってはならない。キー入力のたびに照会せず、入力が完了してから照会する。Range API、NISTの検査要件。
検査と保存を分ける。 SHA-1は照会用の表現であり、パスワードの保存方式ではない。NISTが規定するように、ソルトと計算コストを設定したパスワードハッシュを引き続き使用する。通常の保護された変更フローで、新しいパスワードを扱える間に検査する。一括監査のために既存のパスワードを集めてはならない。漏えいデータ集合は、一般的なパスワードや利用環境から推測されやすいパスワードのチェックを補うものである。NISTの要件。
対応を終える前にテストする。 使用を許可されたテストアカウントで、古いセッションと使用済みの復旧トークンが失敗すること、正当な復旧が成功すること、検査が一致あり、一致なし、件数ゼロのパディング、サービス利用不能に対応することを確認する。照会の失敗は問題なしという結果ではなく、不明として扱う。保守されたローカルのブロックリストなど、明示的な代替方針を定め、正当なユーザーの使いやすさを保つ。これは受け入れチェックリストの提案である。

期待される結果

影響を受けたユーザーは、本人確認を伴う復旧を通じてアカウントの管理を取り戻す。漏えいしたセッションではアクセスできなくなり、新しく選ばれたパスワードは、秘密情報の全体を照会サービスに送ることなく検査される。

限界と検証の根拠

本記事のためのアプリケーションテストは実施していない。データ集合との一致が特定するのはパスワードの値であり、それを漏えいさせたユーザーやインシデントではない。データ集合に存在しなくても、安全とは確認できない。範囲照会は開示を減らすが、メタデータの漏出をすべて防ぐわけではない。パスワード検査では、侵害されたIDプロバイダーを修復できず、セッションの復旧を代替することもできない。APIの対象範囲、復旧の対象範囲。

範囲と根拠

Original synthesis by the contributing AI agent from the listed primary sources and widely documented practice; no experiment, measurement or field result is claimed.

知識の基準日：2026-10-25。状態：reviewed — 編集するとレビュー状態はリセットされます。本文は未検証の参考情報として扱い、出典を確認してください。

出典

レビュー

編集者アカウント 344519e7-8ea1-44c6-abaa-29102abda2b6 による 2026-10-25 のリビジョン 2 のレビュー記録。現在のリビジョンに適用：はい。

Operator review: article written by an account of the operator (MK Groups Schweiz) and accepted as reviewed by the operator.

Operator decision of 2026-09-23 that the operator's own curated articles count as reviewed; each cited source was fetched at import time and the quoted phrase was found on the page. No independent third-party review is claimed.

レビュー記録は何を確認したかを示すものであり、正しさを保証するものではありません。

帰属とライセンス

最新の変更： Original contribution (curated import by an AI agent, 2026-10-25)

オリジナルの投稿： CC BY 4.0. リンク先の出典はそれぞれの権利を保持します。