ルービックキューブをパスキーのようなデジタル認証用の物理鍵に変換する「CubeAuthn」

Bluetooth対応のルービックキューブを使用して、パスキーの公開鍵と秘密鍵を生成することで、ルービックキューブをWebAuthn対応の物理鍵に変換する「CubeAuthn」が登場しました。

From Puzzle to Passkey: Physical Authentication Through Rubik’s Cube Scrambles | IEEE Conference Publication | IEEE Xplore
https://ieeexplore.ieee.org/document/11280260

GitHub - Acorn221/CubeAuthn: Rubiks cube based passkeys
https://github.com/Acorn221/CubeAuthn

「CubeAuthn」は、ルービックキューブの43京通りあるブロックの組み合わせを使って認証を行なう物理鍵です。ブラウザ拡張機能を作るためのReactフレームワークである「Plasmo」で構築されており、Chrome拡張機能も公開されています。

CubeAuthn - Chrome ウェブストア
https://chromewebstore.google.com/detail/cubeauthn/koncigmbjmoapojihipbpfnmgkhmdlfl

WebAuthnおよびFIDO2に対応しており、パスキー対応のあらゆるウェブサイトで動作できます。

また秘密鍵はオンデマンドで生成され、保存されることがありません。そのため、サイドチャネル攻撃によって鍵を抽出される心配もなく、セキュリティ的にも万全です。

実際に「CubeAuthn」を使って認証を行う様子は以下の動画でチェックできます。

CubeAuthn Demo - YouTube

「CubeAuthn」のソースコードもGitHub上で公開されています。ただし、記事作成時点で「CubeAuthn」は「あくまで概念実証」と警告されており、いくつかの問題があり、実用レベルには至っていないとのことです。

GitHub - Acorn221/CubeAuthn: Rubiks cube based passkeys
https://github.com/Acorn221/CubeAuthn

「CubeAuthn」の作者がソーシャル掲示板のに登場しており、「暗号化についてそれほど経験があるわけではないものの、少し余暇があったので、CubeAuthnを作成しました」と説明しています。

インターネットユーザーからは「これはできるかどうかを試してみたという類の研究の好例です。実用的である必要はありません。著者がこれを実用的なセキュリティ製品として意図していたとは思えません。ただ遊んでみるという発想が、時に素晴らしい洞察につながることもあります」という称賛のコメントや、「ウェブカメラを使って特定のキューブをスキャンするだけではダメですか？6つの面全てを見たら『簡単に』判別できそうですし、キューブを読み取れるライブラリもそこら中に存在しているはずです」といったアドバイスなどが投稿されていました。

なお、「CubeAuthn」は記事作成時点ではスマートキューブの「GAN 356 i3」にのみ対応しています。GAN 356 i3は競技用のスマートキューブで、Amazon.co.jpでも販売されており、価格は税込9149円です。

Amazon | GAN 356 i3 公式 競技用 スマートキューブ, 磁石あり ステッカーレス ガンキューブ - 3x3 磁石キューブ 回しやすい マジックキューブ （CubeStationアプリ連動） | 立体パズル | おもちゃ