Google・LINEのかんたんログインは安全？確認先とOpenID Connectの注意点

GoogleやLINEの「かんたんログイン」が普段どおり使えていても、「本当に安全なのか」と不安に感じることはありませんか。

安全性に問題がないとは画面だけでは判断できません。

GoogleやLINEで本人確認が成功した後、どの利用者として扱い、どの情報や機能まで使えるようにするかは、自社のWebシステム側が決めるためです。

顧客や会員、従業員、管理者が使うログインに不備があると、別人のアカウントとして扱われたり、不正にログインされたり、本来は見られない情報へアクセスされたりする可能性があります。

この記事では、OpenID Connectの仕組みを平易に整理し、経営者が開発会社へ確認する内容と、専門診断を検討する場面をご紹介します。

セキュリティー診断さん

えっ、かんたんログインって、そんなに単純な話じゃなかったの？ 便利だから何も考えずに使ってたけど、ちょっと心配になってきたよ…。

Google・LINEログインに関わる三者の役割

OpenID Connectは、GoogleやLINEで行った本人確認の結果を、自社のWebシステムが受け取ってログインに利用する仕組みです。

ログインには、次の三者が関わります。

• 利用者：自社サイトのログインボタンを押し、GoogleやLINEの画面で本人確認を行います。
• GoogleまたはLINE：本人確認を行い、その結果をIDトークンとして自社システムへ伝えます。
• 自社のWebシステム：受け取った結果が正しいか確認し、ログインを許可するアカウントと利用範囲を決めます。

IDトークンは、本人確認の結果を伝えるデジタルの証明書のようなものです。

ただ受け取るだけではなく、自社向けの正しい結果で、途中で変更されていないことを自社システム側で確かめる必要があります。

つまり、GoogleやLINEの画面で本人確認が成功しても、それだけで自社サイトのログイン後まで安全だとは言い切れません。

最終的なログイン許可と権限の判断は、自社システム側にも責任があります。

自社では、Google・LINEログインの設定と権限の決め方を説明できる担当者が明確ですか？

経営者が確認させたい3つの判断ポイント

細かな設定方法を経営者自身が理解する必要はありません。

専門用語が並んで難しく感じる場合も、まずは開発会社や運用会社へ次の三点を確認させることが大切です。

現在の設定を誰が説明できるか把握できていますか？

１．会社が許可した正しい画面へ戻ってくるか

GoogleやLINEで本人確認した後、認証結果が自社の正しい画面へ返される設定になっているかを確認します。

誤った送信先を許可していると、認証結果が意図しない場所へ渡るおそれがあります。

開発会社へ確認するときは「redirect URIが、現在使っているログイン画面に合わせて限定されているか」と伝えると、確認対象を共有しやすくなります。

２．今回のログイン操作に対応した結果か

ログインを始めた利用者の操作と、戻ってきた認証結果が正しく対応しているかを確認します。

別の操作で作られた結果を受け入れる状態では、ログインのすり替えや認証結果の再利用を見逃す可能性があります。

この確認に関係する用語がstateとnonceです。

開発会社には、これらをログインのたびに発行し、正しく検証しているかを確認してもらいます。

３．自社向けで、途中で変更されていない結果か

受け取ったIDトークンがGoogleまたはLINEから発行され、自社サービス向けのものであり、内容が途中で変更されていないかを確認します。

開発会社へは、issuer（発行元）、audience（利用先）、署名、有効期限を認証ライブラリで検証しているか確認を依頼します。

経営者側で設定値を操作するのではなく、現在の実装を説明できる担当者を把握しておくことが重要です。

確認を依頼する前に、社内で次の情報を整理しておくと進めやすくなります。

• Google・LINEログインを設置している画面を一覧にします。
• 顧客、会員、従業員、管理者など、誰が利用するかを整理します。
• 設定を管理している制作会社、開発会社、運用会社を確認します。
• ログイン機能を最後に変更した時期と、現在の確認担当者を把握します。
• 異常時の記録を確認できる場所と、利用停止を判断する責任者を決めます。

不審なログインが疑われる場合は、原因調査に必要な記録を消さず、アカウント停止などを判断できる担当者へ速やかに連絡します。

技術担当者が詳しく確認するときは、次の記事も参考になります。

• IDトークンの構造や検証を確認する場合は、JWTトークンのセキュリティ診断を確認できます。
• ログイン後のCookieやセッションを確認する場合は、セッション管理の脆弱性診断を確認できます。
• API全体の認証・認可を確認する場合は、REST APIのセキュリティ診断を確認できます。

開発会社の設定確認と専門診断の役割

Google・LINEログインの安全性を確認するときは、「どこへ頼めばよいか」と迷うこともあるでしょう。

開発会社や運用会社による内部の確認と、専門診断による外部からの確認を分けて考えると、依頼先を判断しやすくなります。

開発会社や運用会社は、Google・LINE側の管理画面、利用中の認証ライブラリ、自社Webシステムのプログラムを確認し、必要な設定変更や修正を行います。

一方、専門診断は、外部から実際のログイン経路やログイン後の状態を調べ、設定画面だけでは気づきにくい問題を確認するために活用できます。

診断範囲が分からず心配な場合は、現在のGoogle・LINEログインを確認できるか、依頼前に対象範囲を確かめましょう。

『セキュリティー診断さん』へ相談する場合も、対象のログイン画面と利用者の種類を伝えることで、自社だけでは判断しにくい部分を確認するための進め方を相談できます。

外部からの確認が必要か、開発会社や診断サービスへ相談できていますか？

次のような状況に当てはまる場合は、一度確認しておくと安心です。

• Google・LINEログインの導入後、セキュリティ面を十分に確認していません。
• 制作会社や開発会社が変わり、現在の設定を把握している担当者が分かりません。
• ログイン機能や会員機能を改修しました。
• 顧客用と管理者用など、重要度の異なるログインで同じ認証の仕組みを利用しています。

普段のログインに異常がない場合でも、改修や担当会社の変更を節目として確認すると、問題が起きる前に対応方針を整理できます。

診断結果を修正と再確認につなげる

診断で問題が見つかっても、どこから対応すべきか悩む必要はありません。

問題のあるログイン画面や処理を特定した結果を、開発会社や運用会社へ渡して修正を依頼します。

修正後の再確認まで、担当者間で進め方を決めていますか？

『セキュリティー診断さん』などの診断結果を修正箇所と優先順位の判断に活用し、修正後は該当するログイン経路をもう一度確認することで、対応が意図どおり反映されたか確かめられます。

社内には、診断日、確認したログイン画面、見つかった問題、修正内容、再確認の結果を残しておきましょう。

記録がなくて困ることを避けられ、次回の改修や担当会社の変更時にも、どこまで確認済みかを引き継ぎやすくなります。

セキュリティー診断さん

健康診断と同じで、一回だけじゃなくて定期的に見てもらうのが大事なんだね！

まとめ：Google・LINEログインの安全性を確認する

GoogleやLINEで本人確認が成功し、普段どおりログインできていても、認証結果の受け取り方やログイン後の権限に問題がないかは画面だけでは判断しにくいものです。

まずは、利用しているログイン画面、利用者、設定の管理会社を整理し、開発会社や運用会社へ三つの判断ポイントを確認してもらいましょう。

外部から実際のログイン経路やログイン後の状態を確かめたい場合は、専門診断を活用できます。

『セキュリティー診断さん』への相談も、自社だけでは判断しにくいGoogle・LINEログインの状態を確認する選択肢です。

現在使っているログインで、安全に本人確認の結果を受け取り、適切な権限を与えられているかを一度確認してみませんか？

セキュリティー診断さん

ヨシ！ まずはうちのサイトの「健康状態」を知ることから始めればいいんだな！ (๑•̀ㅂ•́)و✧