初めて使用しても信頼できます

初回使用時の信頼( TOFU ) または初回使用時の信頼( TUFU ) は、未知またはまだ信頼されていないエンドポイントとの信頼関係を確立する必要があるクライアントソフトウェアによって使用される認証スキーム^[1]です。TOFU モデルでは、クライアントはローカル信頼データベースでエンドポイントの識別子 (通常はエンドポイントの公開 ID キー、またはその ID キーのフィンガープリント) を検索しようとします。エンドポイントの識別子がまだ存在しない場合、クライアントソフトウェアは、ユーザーに、その識別子が本物であることを確認したことを確認するように求めるか、プロトコルで手動検証が不可能であると想定されている場合、クライアントは指定された識別子を信頼し、信頼関係を信頼データベースに記録します。後続の接続で反対側のエンドポイントから異なる識別子を受信した場合、クライアントソフトウェアはそれを信頼できないものと見なします。

SSHプロトコルでは、ほとんどのクライアントソフトウェア（すべてではないが^[2]）は、まだ信頼されていないサーバーに接続すると、サーバーの公開鍵のフィンガープリントを表示し、認証されたチャネルを使用して実際に認証されたことを確認するようにユーザーに求めます。その後、クライアントは信頼関係を信頼データベースに記録します。新しい識別子は、現在保存されている識別子を手動で削除する必要があるブロッキング警告を引き起こします。

XMPPクライアントのConversationsは、Blind Trust Before Verification ^[3]を使用します。これは、ユーザーが識別子のQRコード表現をスキャンしてエンドポイントを認証する意志と能力を示すまで、すべての識別子を盲目的に信頼するものです。最初の識別子がスキャンされた後、クライアントは認証されたエンドポイントからのメッセージには盾のシンボルを表示し、他のエンドポイントには赤い背景を表示します。

Signalでは、エンドポイントは最初は識別子を盲目的に信頼し、識別子が変更されると非ブロッキング警告を表示します。識別子は、QRコードをスキャンするか、認証されたチャネルを介して識別子の10進表現（安全番号と呼ばれる）を交換することによって検証できます。その後、識別子は検証済みとしてマークされます。これにより、識別子変更の警告の性質が非ブロッキングからブロッキングに変わります。^[4]

たとえば、JamiやRicochetでは、識別子はユーザーのコールサインそのものです。ID はどのチャネルでも交換できますが、認証されたチャネルで識別子が検証されるまでは、事実上盲目的に信頼されます。識別子の変更にはアカウントの変更も必要となるため、同じアカウントに対する MITM 攻撃にはエンドポイントの秘密鍵へのアクセスが必要になります。

WhatsAppでは、エンドポイントは最初は識別子を盲目的に信頼し、デフォルトでは識別子が変更されても警告は表示されません。ユーザーがキー フィンガープリント (セキュリティ コードと呼ばれる) にアクセスしてエンドポイントを認証する意思と能力を示した場合、クライアントは識別子が変更されたときに非ブロッキング警告を有効にするようにユーザーに求めます。WhatsApp クライアントでは、ユーザーが識別子を検証済みとしてマークすることはできません。

Telegramのオプションのシークレット チャットでは、エンドポイントは識別子を盲目的に信頼します。識別子が変更されると、警告が表示される代わりに、新しいシークレット チャット ウィンドウが表示されます。識別子は、識別子の視覚的表現または 16 進表現を比較することで検証できます。Telegram クライアントでは、ユーザーが識別子を検証済みとしてマークすることはできません。

Keybaseでは、クライアントは互いのキーを相互署名できます。つまり、1 つの識別子を信頼することで、複数の識別子を検証できます。Keybase は、Keybase アカウントと、識別子の履歴を含むアカウントの署名チェーンとの間のリンクを検証する、信頼できる第三者として機能します。Keybase で使用される識別子は、ユーザーの署名チェーンのルートのハッシュ、またはそれに結び付けられた Keybase アカウント名のいずれかです。ユーザーが認証されたチャネルを介して署名チェーンのルート ハッシュ (または Keybase アカウント) の信頼性を検証するまで、アカウントとそれに関連付けられた識別子は基本的に盲目的に信頼され、ユーザーは MITM 攻撃を受けやすくなります。^{[引用が必要]}

TOFU スタイルのモデルの最大の強みは、人間が最初にすべてのやり取りを検証する必要があることです。このモデルの一般的な用途は、コンピューター間で ssh-rpc の「ボット」ユーザーを使用することです。これにより、公開キーがコンピューターのセットに配布され、集中ホストからの自動アクセスが可能になります。このアプリケーションの TOFU の側面により、システム管理者 (または他の信頼できるユーザー) は、最初の接続時にリモート サーバーの ID を検証する必要があります。

エンドツーエンドの暗号化通信の場合、TOFU モデルでは、 CA 侵害に対して脆弱な個人証明書を取得する複雑な手順を実行せずに、認証された暗号化が可能になります。 Web of Trustと比較すると、TOFU ではメンテナンスのオーバーヘッドが少なくなります。

手動検証を必要とする TOFU の最大の弱点は、大規模なグループやコンピュータ ネットワークに拡張できないことです。すべてのエンドポイントの識別子を追跡するためのメンテナンス オーバーヘッドは、すぐにユーザーの能力を超えて拡張される可能性があります。

識別子の信頼性が十分に簡単に検証できない環境 (たとえば、職場や教育施設の IT スタッフに連絡するのが難しい場合) では、ユーザーは反対側のエンドポイントの識別子を盲目的に信頼する傾向があります。中間者攻撃が続くと、攻撃者の誤って承認された識別子を検出することも困難になる可能性があります。

新しいエンドポイントには常に新しい識別子が関係するため、潜在的な攻撃に関する警告は表示されません。そのため、識別子がユーザーに提示されるかどうかに関係なく、最初の識別子の信頼性を検証せずに続行しても安全であるという誤解がユーザーの間で生じています。

警告疲れにより、多くのメッセージング アプリケーションは、エンドツーエンドの暗号化を備えていない安全性の低いアプリケーションにユーザーが戻るのを防ぐために、ブロック警告を削除するようになりました。

目に見えない識別子検証メカニズムにより、安全な認証方法がユーザーに発見され、採用される可能性が低くなります。

TOFUまたはTUFUという用語が初めて正式に使用されたのは、CMUの研究者であるダン・ウェンドランド、デビッド・アンダーセン、エイドリアン・ペリグによる研究論文「展望：マルチパスプロービングによるSSHスタイルのホスト認証の改善」で、2008年にUsenixの年次技術会議で発表されました。^[5]

Moxie Marlinspike 氏は、パネル ディスカッション「公開書簡、行動への呼びかけ」でDan Kaminsky氏が行ったコメントに関連して、DEF CON 18 の議事録でPerspectives と TOFU という用語について言及しました。聴衆から、 SSL/TLS PKI モデルよりもSSH公開鍵インフラストラクチャ(PKI) モデルのほうが優れているという意見が出されましたが、Moxie 氏は次のように答えました。

匿名: 「...つまり、(tls) PKI の証明書モデルが気に入らないが、かなりうまく機能していると思われる SSH PKI は好きだという場合、基本的に基本的なことは、データを誰かに渡す場合、そのデータをその人に渡すことを信頼するということです。したがって、その人の証明書を覚えておく必要があります。別の証明書、別の機関によって署名された証明書を持ってくる人がいても、やはり信頼しません。そのようにすれば、多くの問題が解決します。ある程度、不正な CA の問題も解決します。初期のブートストラップには役立ちませんが、初期のブートストラップでは初期モデルを使用し、その後、サイトとの継続的なやり取りには SSH モデルを使用することで、現在よりもさらに強力な状態を維持できます。したがって、現在のモデルは、初期の承認に限り、引き続き再利用できます。では、なぜこれを行わないのでしょうか。」

Dan : 「私は元 SSH 開発者ですが、簡単に説明すると、SSH キー生成でエラーが発生するたびに、ユーザーは「この新しいキーを信頼するには yes と入力してください」または「既知のホスト ファイルに移動してその値を削除してください」と尋ねられます。そして、毎回、サーバーの設定ミスが原因で、ユーザーはそれを実行します。SSHモデルはクールですが、拡張性はありません。」

Moxie : 「そして、あなたが話しているのは「Trust on First Use」または「tofu」と呼ばれるもので、私が関わっている perspectives というプロジェクトがあります。これは、純粋な SSH モデルよりも混乱を少なくするためにこれを活用しようというものです。これは本当に素晴らしいプロジェクトだと思いますので、CA システムの代替に関心があるなら調べてみてください。」

• サーバー証明書の「フィンガープリント」ハッシュの視覚的表現を作成する作業が、ASCII アートの形式でOpenSSHに実装されました。その目的は、長い文字と数字の文字列ではなく、「グラフィカル」な画像をユーザーが視覚的に認識できるようにすることです。元の研究論文は、カーネギーメロン大学コンピューターサイエンス学部のAdrian PerrigとDawn Songによって執筆されました。
• 「TUFU」の頭字語の考案者は、「Perspectives Firefox Plug In」の着想について説明していました。これは、ブラウザがHTTPSウェブサイトに接続するたびにネットワーク公証人に連絡してSSL/TLS PKIモデルを強化するように設計されたものです。

信頼、検証、否認不可というテーマは、暗号化とデジタル セキュリティの分野におけるすべての作業の基礎となります。

• 情報技術の頭字語一覧
• 中間者攻撃

無料辞書『ウィクショナリー』でTOFUを調べてみましょう。

• 「DEF CON 18 スケジュール、公開書簡 - 行動の呼びかけ」
• ブラウザがHTTPSウェブサイトに接続するたびにネットワーク公証人に連絡するFirefox拡張機能
• OpenSSHでのハッシュの可視化