Idcon gomi-052715-pub

Deprecated: The each() function is deprecated. This message will be suppressed on further calls in /home/zhenxiangba/zhenxiangba.com/public_html/phproxy-improved-master/index.php on line 456
Idcon gomi-052715-pub

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

1
Yahoo! JAPANの
FIDOへの取り組み
ヤフー株式会社
Yahoo! JAPAN 研究所上席研究員
五味秀仁
#idcon vol.20 ∼またの名を #fidcon (FIDO特集)（2015年5月27日）

2
パスワードの課題

3
パスワードの課題
n  再利用可能（bearer tokenだから）
→ 漏えいすると使われてしまう
n 長いパスワードは覚えられない、入力が不便
→ 人の記憶に頼るのは難しい
上記課題に対する解決策の1つが
FIDO である

4
FIDO概要

5
FIDO Allianceの概要
n  FIDO (Fast IDentity Online):
•  オンライン認証時のセキュアな通信仕様の策定や推進を目的とした非営利団体。
n  設立経緯：
•  2012年7月：Nok Nok L...

6
メンバー企業
以下のページをご参照ください。
https://fidoalliance.org/membership/members/

7
FIDOと認証手段
n 記憶 (Something you know): 本人のみが記憶するデータによる
•  （例）パスワード、パスフレーズ、PIN など。
n 所持 (Something you have): 本人のみが所持している...

8
FIDOの技術仕様
n パスワード置き換え型: UAF (Universal Authentication Framework)
-  パスワードなしで、生体・所持認証
-  採用企業: PayPal, Samsungなど
n パスワー...

9
FIDO による認証の手順（イメージ）
デバイス上の認証認証成功オンラインでの認証要求
パスワード置き換え型 (UAF 仕様)
パスワード補完型 (U2F 仕様)
生体情報の入力取引の詳細完了
ID・パスワード入力ドングル挿入、ボタン...

10
技術仕様の状態
FIDO 仕様 1.0 (U2F & UAF) 公開 (2014/12/09)
(参考) https://fidoalliance.org/specifications

11
FIDO Certified/Ready
FIDO仕様を実装した各社製品どうしで適合性・相互接続性検証テストを実施。
合格した製品に対して「FIDO-Certified/Ready」を認定し、ロゴの使用を許可。
(参考) https://...

12
FIDOエコシステムとメリット
認証業者
ユーザー
・使い勝手の向上
・セキュリティ・プライバシー
認証器ベンダー
・機器への搭載・採用
セキュリティベンダー
アプリベンダー
・セキュリティの向上
・開発コストの低減
コンピュータ
携帯...

13
FIDO Architecture

14
UAF Architecture
Authenticator (認証器)
ブラウザ/アプリ
FIDO Client
ユーザー端末
Webアプリケーション
Relying Party
FIDO Server
UAF Protocol
Att...

15
FIDOの概念
(1) Pluggable authentication

16
従来の認証
認証手段
指紋 SIM
カード
?
認証サーバー
サービス2サービス1 新サービスサービス3
1234
パスワードハードウェア
トークン
サービスごとに認証手段が必要、コスト大、柔軟性低
サイロ構造：
サービスごとに
認証手...

17
FIDOの認証: プラグイン可能
認証手段
認証サーバー
サービス2サービス1 新サービスサービス3
プロトコルを標準化
指紋音声虹彩 USBキー SIMカード
?
その他
認証手段をプラグイン的に追加、多要素認証、認証の強化を実現
...

18
認証機能の分解
認証
サーバー
ユーザー
従来の認証
識別
検証
認証要求 ID・クレデンシャル
(パスワードや生体情報)
FIDOの認証
ユーザー
識別
検証
ID・検証結果認証要求
ユーザーの検証をローカルで実施、認証プロトコルから分...

19
FIDOの概念
(2) Trust model

20
トラスト（信頼性）の課題
認証サーバーは、クライアントからの認証結果情報を受け入れてよいか？
認証サーバー
ユーザー
識別
検証
クライアント端末
認証結果情報

21
Authenticator Registration
認証サーバー
ユーザー
識別
検証
クライアント端末
FIDO Server
Authenticator 登録用
秘密
登録用
公開登録時に認証器の情報
の署名を検証
認証器のベンダ...

22
Authentication using FIDO authenticator
認証サーバー
ユーザー
識別
検証
ユーザー端末
FIDO Server
Authenticator
認証用
秘密
認証用
公開
署名を検証
改ざんがないこと...

23
Channel Binding
認証サーバー
ユーザー
クライアント端末
FIDO Server
Authenticator
Server-Client間のChannelに強く紐付けられた認証結果情報を作成
→ MITMなどの攻撃に対する...

24
FIDOの概念
(3) プライバシー

25
プライバシー保護
n  生体情報をサーバー上に保管しない
n  サービス間のリンク付けはない
n  アカウント間でのリンク付けはない
認証サーバー
ユーザー
クライアント端末
FIDO Server
Authenticator
秘密...

26
FIDOとID連携の関係

27
認証 (Authentication)
ID管理における機能の階層構造
登録 (プロビジョニング)
ID連携 (Federation)
シングルサインオン
個人属性共有近年の標準化の
主要な対象
(SAML、OpenID、
OpenID...

28
(従来) 分散型ID管理アーキテクチャでのID連携
既存のID連携仕様 (SAML/OpenID/OpenID Connectなど)
アサーション
(認証結果・個人属性)
ユーザー
アサーション発行機能 SP
(Service Provi...

29
FIDOアーキテクチャとID連携
FIDO Server
FIDOの対象
IdP
SP
FIDOは、従来のID連携とは補完関係、ID連携を強化
トラスト
アサーション発行機能
Authenticator
ユーザー
トラスト
アサーション
...

30
FIDOの技術仕様
U2F (Universal 2nd Factor)

31
FIDOの技術仕様
UAF (Universal Authentication Framework)

32
登録 (Registration)
ユーザーが Authenticatorを FIDO Serverに登録する処理
FIDO ServerFIDO ClientAuthenticator
(1) 登録要求を促す要求
User
(2) Le...

33
認証要求メッセージ（例）
{
"header”: {
"op":"Reg",
"appID":"https://uaf.yahoo.co.jp:8443/SampleApp/",
"upv":{"major":1,"minor":0},
...

34
Key Registration Data (KRD) 情報
n Hash (Challenge)
n AAID (Authenticator Attestation ID)
n Public Key
n KeyID
n Reg...

35
認証 (Authentication)
ユーザーが Authenticatorを用いて認証する処理
FIDO ServerFIDO ClientAuthenticator
(1) 認証要求を促す要求
User
(2) 認証要求 (AppI...

36
まとめ
n  FIDO：次世代認証に関する非営利団体
•  認証にフォーカス、パスワードの課題を解決を目指す
•  ユーザー・端末・チップベンダー・サービスを含むエコシステムの構
築を目指す
•  FIDO-Certified認定による...

37
ご清聴ありがとうございました
コンタクト先: hgomi@yahoo-corp.jp