「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
Microsoft Passport (旧 Next Generation Credential)
- ID+パスワードの枠を超えた、Windows10のより強固な公開鍵暗号(PKI)ビルトイン サービス
- Windows10だけでなくWebサービスへも、「PINコード/生体認証」を使用してサインインできる。
認証の仕組み †
- デバイスに関連付けられたキーまたは証明書と、
- 以下を組み合わせた2 要素認証。
- ユーザが知っているもの (PIN)
- またはユーザを示すもの (Windows Hello)
キー ベースの認証と証明書ベースの認証との比較 †
キー (ハードウェアまたはソフトウェア) またはキーを含む証明書を、
ハードウェアまたはソフトウェアで使って身元を確認できる。
証明書ベースの認証 †
証明書を発行して管理する公開キー基盤 (PKI) を保有している企業は、
引き続き、Microsoft Passportと組み合わせて PKI を使用できる。
キー ベースの認証 †
PKI を使用しない、または証明書の管理に関連する作業の軽減を望む企業は、
Microsoft Passportのキー ベースの資格情報を使用できる。
PINコード †
- Microsoft Passportにより、4桁のPINコードでサインインできるようになった。
- 以下のような仕組みのため、PINコードは4桁でも安全とされている。
- 「PINコード」と「デバイス」をひも付けることで
単純なパスワードよりも強固なセキュリティを実現している。
- PINコードを生成する際に、秘密鍵がデバイス側に登録される。
- サービスの登録時に、公開鍵がサービス側に登録され、
- サービスへのログイン時に、
- クライアント側のPINコードで秘密鍵によるアサーション生成が行われ、
- サーバー側で公開鍵によるアサーション検証が行われる。
生体認証 †
- [設定]→[アカウント]→[サインイン オプション]を表示し、
- [暗証番号(PIN)]の[追加]をクリックしてPINを設定する。
- Windows 10に生体認証デバイスが認識されている場合、[Windows Hello]の[セットアップ]が表示される。
- これをクリックし、Windows Helloセットアップの[開始する]をクリックする。
- PINコードの入力を求められたら、PINを入力する。
- 生体認証デバイスに生体認証情報を入力する。
- 多分、ここで、PINコード+生体認証の秘密鍵がデバイス側に登録される。
- これにより、生体認証情報でサインインできるようになる。
SSO †
Active Directory(AD)、Microsoftアカウント、Azure AD(組織アカウント)との統合も可能。
- PINコードまたはWindows Hello経由で対応サービスへの横断的なアクセスが可能となる。
- 企業でのセキュリティ強化や運用バリエーションのオプションが複数用意されている。
- Windows Hello以外にもICチップを内蔵したスマートカードの利用
- “鍵”の生成にTPM 1.2または2.0対応のハードウェアを利用
- Web Account Manager API などを使用するらしい(詳細不明)。
そういうことで、Microsoft Passportは、
- FIDO1.0(UAF)のデバイス(Windows)側の実装に近いものであって、
- 且つ、このPKIは、FIDO1.0(U2F)やFIDO2.0でも利用可能。
- これにより、サービスへのログインに「PINコード/生体認証」を使用できるようになる。
という、FIDOとの関係を持っている。
API †
Microsoft Passportが提供するプログラミングシステムのAPI。
Native †
Windows.Security.Credentials
- KeyCredentialManager?
- KeyCredential?
- UserConsentVerifier?
Web †
参考 †
technet.microsoft.com †
blogs.technet.microsoft.com †
Tags: :認証基盤