スクエア

安全、迅速、信頼性の高いログイン

SQRL ロゴ
原作者	スティーブ・ギブソン
オペレーティング·システム	クロスプラットフォーム
利用可能	56言語
言語リスト アフリカーンス語、アラビア語、アルメニア語、ベラルーシ語、ブルガリア語、カタロニア語、中国語（簡体字）、中国語（繁体字）、クロアチア語、チェコ語、デンマーク語、オランダ語、英語、英語、カナダ語、英語、イギリス、エスペラント語、エストニア語、フィンランド語、フランス語、フランス語、カナダ語、フランス語、ケベック語、ドイツ語、ギリシャ語、ヘブライ語、ヒンディー語、ハンガリー語、アイスランド語、インドネシア語、アイルランド語、イタリア語、日本語、韓国語、ラトビア語、リトアニア語、マラヤーラム語、ノルウェー語（ブークモール）、ノルウェー語（ニーノシュク）、ペルシア語、ポーランド語、ポルトガル語（ポルトガル）、ポルトガル語（ブラジル）、ルーマニア語、ロシア語、セルビア語（キリル文字）、スロバキア語、スロベニア語、スペイン語、スワヒリ語、ケニア語、スワヒリ語、タンザニア、スウェーデン語、タガログ語、タイ語、トルコ語、ウクライナ語、ベトナム語、ウェールズ語[1]
タイプ	安全なウェブサイトのログインと認証
ライセンス	パブリックドメイン[2]
Webサイト	https://www.grc.com/sqrl/sqrl.htm

SQRL（発音は「スクイレル」）^[2]またはSecure, Quick, Reliable Login（旧称Secure QR Login）は、安全なウェブサイトログインと認証のためのオープンスタンダードの草案 です。ソフトウェアは通常、スキームのリンクを使用します。 sqrl://またはオプションでQR コード。この場合、ユーザーはユーザー IDとパスワードを提供する代わりに、仮名の ゼロ知識証明によって識別します。この方法は、ブルートフォースパスワード攻撃やデータ漏洩の影響を受けないと考えられています。これにより、セキュリティの負担が認証を要求する側から、ハードウェアで可能なことのオペレーティング システムの実装とユーザーへと移行します。SQRL は、トランザクションに関する情報が第三者に漏洩するリスクなしに認証プロセスを簡素化する方法として、2013 年 10 月に Gibson Research Corporation のSteve Gibson 氏によって提案されました。

SQRLという頭字語はスティーブ・ギブソンによって考案され、プロトコルは彼自身とインターネットセキュリティ 愛好家のコミュニティによって起草され、詳細に議論され、分析されました。ニュース 2013年10月2日、ニュースグループや週刊ポッドキャスト「Security Now!」でW3Cは標準の策定に関心を示しました。このポッドキャストの放送から2日以内に、W3Cは標準の策定に関心を示しました。^[3]

Google Cloud Platform開発者のIan Maddox氏とKyle Moschetto氏は、文書「システム設計者のための最新のパスワードセキュリティ」の中でSQRLについて言及しています。^[4]

SQRLに関する論文では、「想定されるユーザーエクスペリエンスと基礎となる暗号化の両方の観点から、SQRLは興味深いアプローチであるように思われる。SQRLは主に、確立された暗号化を斬新な方法で組み合わせている」と分析されています。^[5]

このプロトコルは、アイデンティティの 断片化の問題に対する答えです。トランザクションを仲介する第三者を必要とせず、ユーザー名やパスワードなどの保護すべき秘密をサーバーに渡さないことで、 OAuthやOpenIDなどのプロトコルを改良しています。

さらに、パスワード マネージャーアプリケーションで利用可能なログイン プロセスを簡素化するために自由に使用できる標準を提供します。さらに重要なことは、標準がオープンであるため、特定の企業がテクノロジを所有することで利益を得ることができないことです。Gibson の Web サイト^[2]によると、このような堅牢なテクノロジは、セキュリティと暗号化を検証できるようにパブリック ドメインにすべきであり、商業的またはその他の理由で意図的に制限されるべきではありません。

SQRLには、設計上固有の意図的なフィッシング防御機能がいくつかありますが^[6]、フィッシング対策の特性を備えているにもかかわらず、主に認証を目的としており、フィッシング対策用ではありません。^[7]

ウェブサイトでプロトコルを使用するには、2 つのコンポーネントが必要です。1 つは実装 で、これは実装が認証するウェブ サービスの一部であり、プロトコルの仕様に従ってQR コードまたは特別に作成されたURL を表示します。もう 1 つはブラウザ プラグインまたはモバイル アプリケーションで、これは安全な認証を提供するためにこのコードを読み取ることができます。

SQRLクライアントは、一方向関数とユーザーの単一のマスターパスワードを使用して秘密マスターキーを復号化し、そこからサイトのドメイン名とオプションで追加のサブサイト識別子と組み合わせて次のものを生成します。例：例.com、 またはexample.edu/チェスクラブ– (サブ)サイト固有の公開/秘密鍵ペア。秘密鍵を使用してトランザクション トークンに署名し、公開鍵をサイトに渡して、暗号化されたデータを検証できるようにします。

サイトのセキュリティ侵害によって公開され、他のサイトのアカウントへの攻撃が可能になるような「共有秘密」はありません。攻撃者が入手できる唯一のものは公開鍵であり、同じサイトでのみ使用される署名の検証に限定されます。ユーザーが単一のパスワードでマスター キーのロックを解除しても、そのキーが SQRL クライアントから外に出ることはありません。個々のサイトは、他のサイトで使用できる情報を SQRL プロセスから受信しません。

さまざまなプラットフォーム向けに、多数の概念実証実装が行われています。

• C# .NET ^{[8] [9]}
• ドルパル^[10]
• 囲碁^[11]
• PHP ^[12]
• パイソン^[13]
• ワードプレス^[14]

• アンドロイド^{[15] [16] [17]}
• C# .NET ^[8]
• iOS ^[18]
• ジャワ語^[19]
• パイソン^[20]
• さび

• ファイアフォックス^[21]

サーバー側のテストやデバッグのためのサイトも数多く存在します。^{[22] [23]}

スティーブ・ギブソンは、SQRLは「当然ながらオープンかつ無料」であり、そのソリューションは「特許に縛られない」と述べている。^[2] SQRLがQRコードベースの認証メカニズムに多くの注目を集めた後、ブロガーのマイケル・ベイターは、提案されたプロトコルは以前に特許を取得していたため、一般にロイヤリティフリーで利用できないと述べた。^{[24] [非一次ソースが必要]} 問題の特許（2030年まで期限切れにならない）は、スペインの企業GMV Soluciones Globales Internet SA（マドリードに拠点を置くテクノロジーおよび航空宇宙企業GMV Innovating Solutionsの一部門）によって2008年から2012年の間に米国、欧州連合、スペイン、ポルトガルの特許庁に申請され、付与された。^[25]

ギブソンはこう答えた。「あの特許で説明されている彼らのやり方は、SQRLのやり方とは全く違うので、SQRLと彼らの特許の間には矛盾はない。表面的には、認証に2Dコードを使うものはすべて『似ている』ように見える...そして表面的には、そのようなソリューションはすべてそうだ。しかし、細部が重要で、SQRLのやり方は細部では全く違う。」^[26]

• GRC.comの SQRL ホームページ
• Brinkmann, Martin (2013 年 10 月 9 日)。「SQRL が Web サイトのログインと認証プロセスを改善する方法」GHacks.net。2021年3 月 7 日閲覧。
• Lambert, Patrick (2013). 「SQRL: QR コードを使用した新しい認証方法」. Tech Republic . 2021 年3 月 7 日閲覧。
• Holmlund, Daniel (2014 年 1 月 3 日)。「SQRL を実装したパスワードなしの認証」。2014 HTML5 開発者カンファレンス。シリコンバレー国際ゲーム開発者協会。2021年3 月 8 日にYouTube 経由で取得。