「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
- ここでは、基本的に、FIDO (Fast IDentity Online)について言及する。
- FIDOの1、2はOAuthの1、2と違って別物ではないので、順次、言及する。
基本思想 †
FIDOの基本思想は、
仕組み †
- 公開鍵暗号方式をベースとしたチャレンジ・レスポンス認証。
- 「既存の認証」に対して公開鍵を登録するという実装になる。
- 処理シーケンス
採用、普及の状況 †
- Google
- Microsoft
- PayPal?
- Dropbox
- GitHub
- NTT docomo
- Bank of America Corporation
特性 †
利点 †
セキュリティ向上 †
- パスワードへの依存を減らし、認証の安全性が向上する。
- パスワードなどの認証情報がネットワークに流れない。
コスト削減 †
標準規格のため、認証器はサービスに共通的に使える。
プライバシー保護 †
- サーバ側にパスワード情報や生体情報を持たない。
- 「端末側での本人確認」と「サーバ側での認証」を分けている。
操作性 †
- 生体認証や端末のボタン操作など認証操作が簡単になる。
- これにより、パスワード入力・管理を不要にできる。
課題 †
機能 †
- ユーザとデバイスの組の確実性しか保証されない。
- また、権限制御は別途実装する必要がある。
用語 †
OAuth2と同じで、Relying Party(RP)という用語が使用されている。
変遷 †
FIDO 1.0 †
2014年12月に仕様が公開された。
図
- 公開鍵暗号方式を採用している。
- 既にFIDOエコシステムを構築、市場に普及。
UAF †
パスワードレス認証の仕様
- 端末備え付けの認証器で、パスワードなし認証を行う。
- 端末内に生体認証データ（やPIN）を登録し、
Webサービスなどにその端末を登録すれば、
利用者が端末で生体認証（やPIN入力）を行う事でログインが可能になる
U2F †
パスワードに加えた2要素認証向けの仕様
2要素認証（USB、Bluetooth、NFC経由）
- 利用者は
- 従来通りのユーザIDとパスワードによる認証を行った後、
- U2Fに対応した USB端末や NFC端末 (認証器) を使ってログインする。
FIDO 2.0 †
2015年11月19日、WWW技術の標準化団体であるW3Cに FIDO 2.0 のWeb API仕様を提案
- FIDO 2.0は、FIDO 1.0の拡張ではなく、
- UAFとU2Fを統合し、OSやブラウザといったプラットフォームのサポートに最適化する、
- プラットフォーム（ブラウザやOS）によるネイティブサポートのための仕様。
- また、あるサービスに登録済みの認証デバイスによるFIDO認証を通じて、
未登録の新たな端末からサービスにログインできる機能が使えるようになる。
- （例）PC上のアプリケーション利用時の認証を、スマホで行う。
- PC-スマホ間のデバイス連携機能で、スマホを認証器として用い
- これにより、スマホに認証機能を集約させることができる。
Webプラットフォーム API仕様 †
- Web API（抽象的なAPIを通じたメッセージの通信）仕様
- ブラウザでの普及を想定し、標準化団体W3Cへ、本仕様を提案
- 秘密鍵を使用してクライアントや認証器などのコンテキストに関する情報に署名。
- WebAPI for Accessing Credential API
- RPアプリケーションから利用されるAPI
- Webブラウザ用と、OSネイティブ用のAPIがある。
- 登録シーケンスと、認証シーケンスに使用するAPIがある。
- Key Attestation Format
クライアントや認証器などのコンテキストを表現するためのアサーション
- 認証器の信頼性、秘密鍵管理の信頼性を証明するための情報のデータ構造を定義
- 具体的な個別の環境（TPMやAndroidなど）を利用する場合を規定（プロファイル）。
- Signature Format
FIDO 2.0準拠クレデンシャル用の署名フォーマット（上記のアサーションに署名を行う）
デバイス間連携仕様 †
デバイス組込みではない認証器に対応するための通信プロトコルの規定。
- EAP (External Authenticator Protocol)
USB/Bluetooth/NFCトランスポートバインディングを規定
- プラットフォームと外部認証器間の通信プロトコルを規定。
- 具体的な通信路（USB/Bluetooth/NFCなど）の適用が可能。
詳細 †
処理シーケンス †
登録 †
認証器で鍵を生成・登録するAPIを使用して処理を行う。
認証 †
登録済みの鍵を使って認証用の署名を生成するAPIを使用して処理を行う。
- サービス要求（Client ---> Server）
- 認証要求（Client <--- Server）
- FIDO認証要求（クライアント ---> 認証器）
- クレデンシャルの検索
「この機器（認証器）を用いて認証しますか？」
- ユーザーによる明示的な操作（ジェスチャー）
- 既存のクレデンシャルを利用することを承認（確認）
- 認証器による認証
- デバイス側の認証器で認証を完了させ、
- 認証結果を端末側が持つ秘密鍵を使って署名する。
- アサーション応答 (署名つきチャレンジ + その他データ)
- 署名されたアサーションを公開鍵暗号方式でサーバーに伝達、
- サーバーでは、このアサーションの署名を検証することで、ログインできる。
FIDOサーバー †
FIDOクライアント †
ブラウザやOSなどの各種、ユーザーエージェント (User agent）を指す。
認証器 †
Authenticatorとも言う。
- ハードウェア
- USB
- SIMカード
- TPM (Trusted Platform Module)
- NFC (Near Field Communication)
- その他、各種デバイスやプラグイン
ブラウザ †
FIDO 2.0のWeb API仕様に対応したブラウザは、
などのFIDO準拠のデバイスやソフトウエアによるユーザー認証の結果を、
標準化されたAPIで受け取ってWebサービスに通知することができる。
FIDO準拠のデバイスやソフトウエア †
Windows Hello †
ライブラリ †
参考 †
ASP.NET †
FIDO Alliance †
生体認証などを利用したより強力なオンライン認証技術の標準化を目指す
非営利の標準化団体(2012年7月に設立、2013年2月に正式発足)
FIDO Alliance MetaData? Service †
脆弱性の発覚などで信用性が低下したデバイスに関する情報。
ES256のJWTであるもよう。
Tags: :認証基盤
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
