NIST SP 800-63A #idcon vol.22
•
2 likes•1,599 views
2016/11/01 tue. に開催された #idcon vol.22 @ mixi の資料。 NIST SP 800-63A の概要。
Recommended
More Related Content
Similar to NIST SP 800-63A #idcon vol.22
Similar to NIST SP 800-63A #idcon vol.22 (13)
Recently uploaded
Recently uploaded (9)
NIST SP 800-63A #idcon vol.22
- 1. SP 800-63A Enrollment and Identity Proofing Requirements #idcon vol.22 @ mixi 2016/11/1 tue. Sami Maekawa
- 2. SAMI MAEKAWA • 前職 ： 某社でシステムエンジニア（2007〜2014） • 現職 ： フリーランス エンジニア（2015〜） 、他（2016〜） • ID-WSF / SAML / • OpenID Authentication, AX / • OAuth 1.0 / OAuth 2.0 / • OpenID Connect • ID、認証、セキュリティ • Webアプリケーション開発 • その他 2016/11/2SP 800-63A 2
- 3. SP 800-63A Enrollment and Identity Proofing 登録申請〜登録完了に至るまでのプロセス Identity Assurance Level (IAL)について定義 2016/11/2SP 800-63A 3
- 6. IDENTITY PROOFING JOURNEY 申請者 CSP 6 登録申請 身分証 信頼できる機関 = Credential Hello, Alice! Credential Alice
- 8. IDENTITY ASSURANCE LEVEL (IAL) IAL 1，IAL 2，IAL 3 の要件
- 9. 各レベルの要件 要件 IAL 1 IAL 2 IAL 3 実在確認 必要 なし 対面あるいはリモートで確認 対面で確認 収集する 属性情報 必要 なし 一意に識別するために必要な最低限の情 報のみに限定． 追加でKBVを利用しても良い． IAL 2と同様． ただし生体情報必須 身分証の 種類 必要 なし • STRONG 2つ • STRONG 1つ + ADEQUATE 2つ • SUPERIOT 1つ + STRONG 1つ • STRONG 2つ + ADEQUATE 1つ 身分証の 検証 必要 なし 提示された身分証と同じ強度の検証 を実施 IAL 2と同じ アカウント 情報の検証 必要 なし STRONG以上 SUPERIOR以上 連絡先 必要 なし • 自己申告の連絡先は利用しない • 身分証から取得した連絡先を利用 • 実在確認をリモートで行う場合は登録 コードの送付＆確認を本登録前に実施 • 自己申告の連絡先は利 用しない • 身分証から取得した連 絡先を利用 9 1 2 3 4 5 6
- 10. 新しい定義：強度（SCORE） 受入不可 UNACCEPTABLE 弱い WEAK 適切 ADEQUATE 強力 STRONG 上級 SUPERIOR 3 4 5 強度：低い 強度：高い
- 11. 証明書類の種類 No. 種類の要件 受入不可 UNACCEPTABLE 弱い WEAK 適切 ADEQUATE 強力 STRONG 上級 SUPERIOR 1 発行時の身元確認なし ✔ ✔ - - - 2 発行時、身元確認済 - - ✔ ✔ ✔ 3 身元確認は鑑査済み手順書に従っている - - - ✔ ✔ 4 視覚的な身元確認を行っている - - - - ✔ 5 連絡先確認済 & 識別番号記載あり - ✔ ✔ ✔ ✔ 6 KBVで認証可能 - - OR - - 7 写真 or 画像を含む - - OR OR ✔ 8 生体情報を含む - - OR OR ✔ 9 暗号化あり & 複製困難 & 有効期限内 - - ✔ ✔ ✔ 10 実名記載あり - - - ✔ ✔ 11 3 2016/11/2SP 800-63A
- 12. 証明書類の検証 No. 種類の要件 受入不可 UNACCEPTABLE 弱い WEAK 適切 ADEQUATE 強力 STRONG 上級 SUPERIOR 1 検証失敗 ✔ - - - - 2 信頼機関が発行 or 内容が一致 - ✔ OR ✔ ✔ 3 改ざんされていないことを物理的に検証 - - OR OR ✔ 4 熟練した職人が確認 - - OR OR ✔ 5 暗号機能を検証 - - OR OR ✔ 12 2016/11/2SP 800-63A 4
- 13. アカウント情報の検証 No. 種類の要件 受入不可 UNACCEPTABLE 弱い WEAK 適切 ADEQUATE 強力 STRONG 上級 SUPERIOR 1 未検証 or 検証失敗、証明不可 ✔ - - - - 2 対象アカウントのサポートは可能 - ✔ - - - 3 KBVで認証済 - - OR - - 4 物理的に認証済 - - OR OR - 5 生体認証済 - - OR OR ✔ 6 SP 800-63B 5.2.3 の要件を満たす - - - ✔ ✔ 13 2016/11/2SP 800-63A 5
- 16. 攻撃例と対策 脅威 攻撃例 低減策 登 録 時 の 攻 撃 偽装 偽造した運転免許証で 登録申請 物理的な検証を実施 他者の 不正利用 他人のパスポートで登 録申請 信頼機関の情報と突合 生体情報の検証 登録の否認 登録済みユーザが登録 していないと主張 署名をもらう Social engineering 他者を操作して登録 重複レコードの存在確認 発 行 時 の 攻 撃 漏えい Authenticatorを盗ま れる 発行はCSP自身で行う 密封して確実な住所に物理的に送付 保護されたセッションで電子的に送付 改ざん Authenticator を変更 される 密封して確実な住所に物理的に送付 保護されたセッションで電子的に送付 ユーザが発行元検証を行えるようにする 不正発行 / Social engineering 他者にクレデンシャルを 渡してしまう 受取者が申請者と同一であることを確認 複数の独立した人物の介在が必要な複数 制御な発行方法にする 16 1 2 3 5 4 5