「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
2015年11月19日、WWW技術の標準化団体であるW3Cに FIDO 2.0 のWeb API仕様を提案
- FIDO 2.0は、FIDO 1.0の拡張ではなく、
- UAFとU2Fを統合し、OSやブラウザといったプラットフォームのサポートに最適化する、
プラットフォーム（ブラウザやOS）によるネイティブサポートのための仕様。
- OSやブラウザのAPIへの定義され、FIDO Clientといった中継のためのレイヤが無くなったため、
RPアプリケーションから直接リクエストができる、見かけ上U2Fに近いシンプルな構成になった。
- また、あるサービスに登録済みの認証デバイスによるFIDO認証を通じて、
未登録の新たな端末からサービスにログインできる機能が使えるようになる。
- （例）PC上のアプリケーション利用時の認証を、スマホで行う。
- PC-スマホ間のデバイス連携機能で、スマホを認証器として用い
- これにより、スマホに認証機能を集約させることができる。
Webプラットフォーム API仕様 †
- Web API（抽象的なAPIを通じたメッセージの通信）仕様
- ブラウザでの普及を想定し、標準化団体W3Cへ、本仕様を提案
- 秘密鍵を使用してクライアントや認証器などのコンテキストに関する情報に署名。
デバイス間連携仕様 †
- デバイス組込みではない認証器に対応するための通信プロトコルの規定。
- EAP (External Authenticator Protocol)
USB/Bluetooth/NFCトランスポートバインディングを規定
- プラットフォームと外部認証器間の通信プロトコルを規定。
- 具体的な通信路（USB/Bluetooth/NFCなど）の適用が可能。
詳細 †
処理シーケンス †
| 様々な外部認証器 | | 通信（FIDO2標準プロトコル・メッセージ） | API | クライアント(FIDO2 Client) | WebAPI | 通信（FIDO2標準プロトコル・メッセージ） | サーバ( FIDO2 Server) |
| ・ | 生体認証 | <--->
EAP (External Authenticator Protocol) | JS、NativeのAPI
以下は同じものを指している？
- Web Authentication API
- Web API for accessing FIDO 2.0 credentials
（WebAPIと言っているが所謂、WebAPIではない...。） | 各種ブラウザ、各種OS | 各種HttpClient? | <--->
ここの仕様は存在しない？ | サービスA
サービスB
サービスC
...サービスX |
| | ・ | 指紋 |
| | ・ | 静脈 |
| | ・ | 虹彩 |
| | ・ | 顔 |
| ・ | その他の認証方法 |
| | ・ | PINコード |
| | ・ | ジェスチャー |
登録 †
認証器で鍵を生成・登録するAPIを使用して処理を行う。
- サービス要求（RP Client ---> RP Server---> FIDO2 Server）
- 認証要求（FIDO2 Client <--- FIDO2 Server）
- クレデンシャル生成要求（FIDO2 Client ---> 認証器）
- クレデンシャル生成
「この機器（認証器）をサーバに登録しますか？」
- ユーザーによる明示的な操作（ジェスチャー）
- 秘密鍵・公開鍵のペアを生成することを承認（確認）
- クレデンシャル情報の応答（FIDO2 Client ---> FIDO2 Server）
公開鍵、鍵情報 (署名つき) をサーバに伝達して登録。
認証 †
登録済みの鍵を使って認証用の署名を生成するAPIを使用して処理を行う。
- サービス要求（RP Application ---> RP Server---> FIDO2 Server）
- 認証要求（FIDO2 Client <--- FIDO2 Server）
- FIDO2認証要求（FIDO2 Client ---> 認証器）
- クレデンシャルの検索
「この機器（認証器）を用いて認証しますか？」
- ユーザーによる明示的な操作（ジェスチャー）
- 既存のクレデンシャルを利用することを承認（確認）
- 認証器による認証
- デバイス側の認証器で認証を完了させ、
- 認証結果を端末側が持つ秘密鍵を使って署名する。
- アサーション応答（FIDO2 Client ---> FIDO2 Server）
署名されたアサーション（署名つきchallenge + その他データ）を
サーバに伝達し、署名検証することでログインできる。
クライアント・サーバ †
クライアント：WWW Browser †
FIDO 2.0のWeb API仕様に対応したWWW Browserは、
などの、認証器によるユーザー認証の結果を、
標準化されたAPIで受け取ってWebサービスに通知することができる。
クレームベース認証などを使用して連携する。
各仕様 †
FIDOサーバ側のWebAPIのインターフェイス定義は発見できず（未定義？）。
WebAPI for Accessing Credential API †
どうも、Web Authentication APIと同じものを指している模様。
# WebAPI for Accessing Credential APIが、Web Authentication APIに準拠？
- Webブラウザ用と、OSネイティブ用のAPIがある。
- 登録シーケンスと、認証シーケンスに使用するAPIを定義している。
- 認証器で鍵を生成する登録するAPI
- 登録済みの鍵を使って認証用の署名をつくるAPI
Key Attestation Format †
クライアントや認証器などのコンテキストを表現するための
アサーションや、クレデンシャルのフォーマットを定義している。
- 認証器の信頼性、秘密鍵管理の信頼性を証明するための情報のデータ構造を定義
- 具体的な個別の環境（TPMやAndroidなど）を利用する場合を規定（プロファイル）。
Signature Format †
FIDO 2.0準拠クレデンシャル用の署名フォーマット（上記のアサーションに署名を行う）
参考 †
W3C †
FIDO 2.0 †
- FIDO 2.0: Web API for accessing FIDO 2.0 credentials
- FIDO 2.0: Key Attestation Format
- FIDO 2.0: Signature format
ニュース †
2015 †
2016 †
2018 †
Yubico †
Tags: :認証基盤, :FIDO
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
