信頼できるアプリのフィルター

Okta FastPassの信頼できるアプリのフィルターを利用することで、orgはWindowsで、およびmacOS向けのChromeとFirefoxで、Okta FastPassの呼び出しが許可されるアプリを管理できます。

具体的には、信頼できるアプリのフィルターを利用することで、未署名のバイナリをブロックし、バイナリのallowlistを作成することができます。未署名のバイナリがOkta FastPassを呼び出すことを防止することで、未認可または悪意のあるソフトウェアに対するセキュリティを強化できます。バイナリの許可リストを作成することで、Okta FastPassの呼び出しが許可されるバイナリを指定できるため、信頼できるアプリケーションのみがこの機能を持つことが保証されます。

信頼できるアプリのフィルターを構成する

注:

信頼できるアプリのフィルター機能は、Apple App StoreバージョンのOkta Verify for macOSには含まれていません。

設定（Setting） > ダウンロード（Downloads）にあるAdmin ConsoleからmacOS用のOkta Verifyをダウンロードします。

binaryIdentifierを特定する

Okta式言語を使ってアプリ・サインイン・ポリシー内にクエリを構成することで、どのバイナリまたはアプリがOkta FastPassループバックサーバーを呼び出せるかを制御できます。クエリを作成するには、ブロックまたは許可するアプリのbinaryIdentifierが必要です。この情報は、システムログにあります。

BinaryIdentifier information in the System Log.

システムログを開き、Authentication of user via MFAというログを探します。
AuthenticationContext > AuthenticatorContext > binaryIdentifierというイベントまでスクロールします。
クエリで使用するbinaryIdentifierの値をコピーします。

たとえば、WindowsではChromeのbinaryIdentifierはGoogle Chromeです。macOSでは、Google ChromeのbinaryIdentifierはEQHXZ8M8AV.com.google.Chrome.helperです。

Okta FastPassの呼び出しを許可またはブロックするアプリごとにこの操作を行います。

クエリを作成する

Okta式言語を使ってアプリ・サインイン・ポリシー内にクエリを構成することで、どのバイナリまたはアプリがOkta FastPassループバックサーバーを呼び出せるかを制御できます。

クエリ	説明	例
バインドタイプ	認証で使用されるバインド方式。現在サポートされているバインド方式は、`LOOPBACK`と`APPLE_SSO_EXTENSION`のみです。	`device.caller.bindingType == "LOOPBACK"` `device.caller.bindingType == "APPLE_SSO_EXTENSION"`
検証ステータス	これは、バイナリが署名済みかどうかを示します。署名済みのバイナリは、`SUCCESS`で表すことができます。この属性は、サポートされているFastPassバインディングタイプ（`LOOPBACK`と`APPLE_SSO_EXTENSION`）を使用する認証にのみ入力されます。	`device.caller.validationStatus == "SUCCESS"`
バイナリ/アプリの識別子	これは、Okta FastPassの呼び出しを許可するアプリを識別します。アプリを識別するバイナリは、システムログで探すことができます。エラーが生じないように、表示どおりの値をコピーして貼り付ける必要があります。	`device.caller.binaryIdentifier == "Google Chrome"` `device.caller.binaryIdentifier == "43AQ936H96.org.mozilla.firefox"` `device.caller.binaryIdentifier == ".com.apple.Safari"`

アプリ・サインイン・ポリシー内でクエリを組み合わせることで、未署名のアプリによるループバックサーバーの呼び出しをブロックできます。

device.caller.bindingType == "LOOPBACK" && 
				device.caller.validationStatus == "SUCCESS" && 
			(device.caller.binaryIdentifier == "EQHXZ8M8AV.com.google.Chrome.helper" || device.caller.binaryIdentifier == "43AQ936H96.org.mozilla.firefox")

完成したクエリをアプリサインオンポリシーのExpression Languageフィールドに追加します。

注:

信頼できるアプリのフィルターは、バインドタイプがLOOPBACKに設定されると有効になります。機能が想定どおりに動作するように、この設定が正しく構成されていることを確認してください。

未署名のバイナリをブロックする

Admin Consoleで、セキュリティ（Security） > 認証ポリシーに移動します。
アプリのサインイン（App sign-in）をクリックし、編集するポリシーをクリックします。
ELクエリの追加先となるルール（Actions）の横のアクション（Actions）（Rule）ドロップダウンメニューをクリックし、編集（Edit）をクリックします。
未署名のアプリによるOkta FastPassの呼び出しをブロックするためのクエリを式言語（Expression Language）フィールドに入力します。
```
device.caller.validationStatus == SUCCESS
```
このクエリを、Okta FastPassを狙ったローカル攻撃から保護するアプリのすべてのアプリ・サインイン・ポリシーに貼り付けます。
保存（Save）をクリックします。

バイナリの許可リストの作成と管理

Admin Consoleで、セキュリティ（Security） > 認証ポリシーに移動します。
アプリのサインイン（App sign-in）をクリックし、編集するポリシーをクリックします。
ELクエリの追加先となるルール（Actions）の横のアクション（Actions）（Rule）ドロップダウンメニューをクリックし、編集（Edit）をクリックします。
特定のアプリにOkta FastPassの呼び出しを許可するELクエリを式言語（Expression Language）フィールドに書き込みます。クエリを作成するには、System LogのbinaryIdentifierフィールドに表示される値をコピーします。

たとえば、許可リストにGoogle Chromeを追加するELクエリは、device.caller.binaryIdentifier == "EQHXZ8M8AV.com.google.Chrome.helper"となります。このEQHXZ8M8AV.com.google.Chrome.helperはシステムログからコピーした値です。
保存（Save）をクリックします。