「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
2015年11月19日、WWW技術の標準化団体であるW3Cに FIDO 2.0 のWeb API仕様を提案
- FIDO 2.0は、FIDO 1.0の拡張ではなく、
- UAFとU2Fを統合し、OSやブラウザといったプラットフォームのサポートに最適化する、
プラットフォーム(ブラウザやOS)によるネイティブサポートのための仕様。
- OSやブラウザのAPIへの定義され、FIDO Clientといった中継のためのレイヤが無くなったため、
RPアプリケーションから直接リクエストができる、見かけ上U2Fに近いシンプルな構成になった。
- また、あるサービスに登録済みの認証デバイスによるFIDO認証を通じて、
未登録の新たな端末からサービスにログインできる機能が使えるようになる。
- (例)PC上のアプリケーション利用時の認証を、スマホで行う。
- PC-スマホ間のデバイス連携機能で、スマホを認証器として用い
- これにより、スマホに認証機能を集約させることができる。
Webプラットフォーム API仕様 †
- Web API(抽象的なAPIを通じたメッセージの通信)仕様
- ブラウザでの普及を想定し、標準化団体W3Cへ、本仕様を提案
- 秘密鍵を使用してクライアントや認証器などのコンテキストに関する情報に署名。
デバイス間連携仕様 †
デバイス組込みではない認証器に対応するための通信プロトコルの規定。
- EAP (External Authenticator Protocol)
USB/Bluetooth/NFCトランスポートバインディングを規定
- プラットフォームと外部認証器間の通信プロトコルを規定。
- 具体的な通信路(USB/Bluetooth/NFCなど)の適用が可能。
詳細 †
処理シーケンス †
登録 †
認証器で鍵を生成・登録するAPIを使用して処理を行う。
- サービス要求(RP Application ---> RP Server---> FIDO Server)
- 認証要求(RP Application <--- RP Server <--- FIDO Server)
- クレデンシャル生成要求(RP Application ---> FIDO Client ---> 認証器)
- クレデンシャル生成
「この機器(認証器)をサーバーに登録しますか?」
- ユーザーによる明示的な操作(ジェスチャー)
- 秘密鍵・公開鍵のペアを生成することを承認(確認)
- クレデンシャル情報の応答(RP Application ---> RP Server---> FIDO Server)
公開鍵、鍵情報 (署名つき) などを公開鍵暗号方式でサーバーに伝達する。
- サーバーで・・・(RP Server ---> FIDO Server)
認証 †
登録済みの鍵を使って認証用の署名を生成するAPIを使用して処理を行う。
- サービス要求(RP Application ---> RP Server---> FIDO Server)
- 認証要求(RP Application <--- RP Server <--- FIDO Server)
- FIDO認証要求(RP Application ---> FIDO Client ---> 認証器)
- クレデンシャルの検索
「この機器(認証器)を用いて認証しますか?」
- ユーザーによる明示的な操作(ジェスチャー)
- 既存のクレデンシャルを利用することを承認(確認)
- 認証器による認証
- デバイス側の認証器で認証を完了させ、
- 認証結果を端末側が持つ秘密鍵を使って署名する。
- アサーション応答(RP Application ---> RP Server---> FIDO Server)
署名されたアサーション(署名つきchallenge + その他データ)を公開鍵暗号方式でサーバーに伝達する。
- サーバーで署名検証(RP Server ---> FIDO Server)
サーバーでは、このアサーションの署名を検証することでログインできる。
FIDOクライアント †
- RPアプリケーション
- ブラウザやOSなどの各種、ユーザーエージェント (User agent)を指す。
認証器 †
認証器は、Authenticatorとも言う。
- 外部接続であれば、以下のような接続インタフェースを使用する。
- USB
- NFC
- Bluetooth Low Energy
ブラウザ †
FIDO 2.0のWeb API仕様に対応したブラウザは、
などの、FIDO準拠のデバイスやソフトウエアによるユーザー認証の結果を、
標準化されたAPIで受け取ってWebサービスに通知することができる。
FIDOサーバー †
各仕様 †
FIDOサーバ側のWebAPIのインターフェイス定義は発見できず(未定義?)。
WebAPI for Accessing Credential API †
どうも、Web Authentication APIと同じものを指している模様。
# WebAPI for Accessing Credential APIが、Web Authentication APIに準拠?
- Webブラウザ用と、OSネイティブ用のAPIがある。
- 登録シーケンスと、認証シーケンスに使用するAPIを定義している。
- 認証器で鍵を生成する登録するAPI
- 登録済みの鍵を使って認証用の署名をつくるAPI
Key Attestation Format †
クライアントや認証器などのコンテキストを表現するための
アサーションや、クレデンシャルのフォーマットを定義している。
- 認証器の信頼性、秘密鍵管理の信頼性を証明するための情報のデータ構造を定義
- 具体的な個別の環境(TPMやAndroidなど)を利用する場合を規定(プロファイル)。
Signature Format †
FIDO 2.0準拠クレデンシャル用の署名フォーマット(上記のアサーションに署名を行う)
FIDO準拠のデバイスやソフトウエア †
- 2016年7月のWindows 10 Anniversary Updateでは、
ブラウザーのMicrosoft EdgeからFIDO対応サービスへの
ログイン方法に生体認証が利用できるようになった。
Touch ID †
iPhoneシリーズのTouch IDの指紋認証は、FIDO対応ではないもよう。
しかし、FIDOクライアント側で、Touch IDを利用可能にしている模様。
応用 †
FIDO認証とID連携 †
ID連携により、アサーションを連携することで、他のRPでもFIDO認証をサポートできる。
オフライン利用 †
アサーションの提示でオフラインでも本人確認が可能。
参考 †
Yahoo! JAPAN †
Tech Blog †
FIDO Alliance †
生体認証などを利用したより強力なオンライン認証技術の標準化を目指す
非営利の標準化団体(2012年7月に設立、2013年2月に正式発足)
セミナー †
FIDO Alliance MetaData? Service †
脆弱性の発覚などで信用性が低下したデバイスに関する情報。
ES256のJWTであるもよう。
W3C †
FIDO 2.0 †
- Submission Request to W3C: FIDO 2.0 Platform Specifications 1.0
https://www.w3.org/Submission/2015/02/
- FIDO 2.0: Web API for accessing FIDO 2.0 credentials
- FIDO 2.0: Key Attestation Format
- FIDO 2.0: Signature format
Microsoft †
Tags: :認証基盤