Authentication and Authorization of The Latest Keycloak

© Hitachi, Ltd. 2024. All rights reserved.
Keycloak最新動向 - 認証および認可
Cloud Native Security Japan Kickoff meetup 2024
@東京ガーデンテラス紀尾井町紀尾井タワー
株式会社日立製作所
OSSソリューションセンタ
2024年5月17日
乗松隆志

1
自己紹介
◼ OSSを利用したサービス・技術コンサルティングの提供
◼ Keycloakへのコントリビューション活動 (機能実装、コードレビュー、カンファレンスでのPR、コ
ミュニティ活動のリード)
Keycloakへの主要なコントリビューション :
 W3C Web Authentication (WebAuthn) のRelying Party側実装 (Passkeys authentication)
 セキュリティの標準仕様の実装 (e.g., RFC 7636 PKCE, RFC 8705 OAuth MTLS, OIDC CIBA,
RFC 9126 PAR, RFC 8032/8037 EdDSA, RFC 9449 DPoP, RFC 9207 OAuth2 Authz Server
Issuer Identification, Internet-Draft OAuth 2.1)
 Financial-grade API (FAPI) の各種Security Profilesの実装 (e.g., FAPI 1.0 Baseline, FAPI
1.0 Advanced, FAPI-CIBA, FAPI 2.0 Baseline, FAPI 2.0 Message Signing)
乗松隆志 (@tnorimat in github) :
株式会社日立製作所 OSSソリューションセンタ所属シニアOSSスペシャリスト
Keycloak*メンテナー, Keycloakサブプロジェクト “OAuth SIG” Tech Lead
* Keycloak : The Identity and Access Management (IAM) 用のOSS.

2
Keycloakとは
Keycloak
主要標準に対応したID連携
(OAuth2.0認可サーバー含む）
ソーシャルログイン
(Identity Brokering) ＩＤ管理と認証
LDAP
Active
Directory
RDB
OpenID SAML XML.org
GitHub
X Facebook
アイデンティティおよびアクセス管理用のオープ
ンソース・ソフトウェア。
シングルサインオンやOAuth2.0に対応したAPI
の認可サーバーの機能を提供。
2023年4月より、The Linux Foundation傘下の
Cloud Native Computing Foundation (CNCF) の
Incubating Projectとなっている。
https://www.cncf.io/projects/keycloak/
Githubを利用して開発。
https://github.com/keycloak/keycloak

1. 認証機能： Passkeys
2. 認可機能： OAuth 2.1
発表内容
3

4
1. 認証機能： Passkeys

5
Passkeysとは
二種類のPasskey:
• Synced passkey
• Device-bound passkey
二種類の認証方法:
• Cross-device authentication
• Same-device authentication
Keycloak 23はPasskeyのサポートを
Preview Featureとして始めました. (*2)
Passkeys := FIDO standardsをベースとし、ユーザーの複数のデバイスのアプリケー
ションで素早く、簡単に、そして安全にシングルサインオンを行える。Password認証に代
わるもの。 Passwordと違い、Passkeyはフィッシィング攻撃に耐性がある。
(quoted from the website of FIDO Alliance (*1))
*1 : https://fidoalliance.org/passkeys/#resources
*2 : https://www.keycloak.org/docs/23.0.7/release_notes/index.html#passkeys-support

6
Passkeys – WebAuthnとの関係
WebAuthn := 公開鍵アルゴリズムを利用したWebベースの認証標準で、W3Cにより策
定されている。Password-less認証とMulti-Factor認証をサポートし、Password認証で生
じる問題を解決している。
大体のところ、技術的な観点からはPasskey認証とWebAuthn認証は同じ。
KeycloakのPasskey認証は、既存サポートのWebAuthn認証を利用。
Keycloak 8 から、WebAuthn認証を正式にサポートしている。 (*1).
Passkeyは下記のメジャーなプラットフォームでサポートされている。
• Windows (Windows Hello)
• MacOS / iPhone / iPad
• Android
*1 : https://www.Keycloak.org/docs/latest/release_notes/index.html#w3c-web-authentication-support

7
Passkeys - Synced Passkey と Device-bound Passkey
ユーザー
PC
Synced Passkey := クラウドサービスにより
ユーザーの複数のデバイス間で同期される
Passkey。
Device-bound Passkey := ユーザーの単一
のデバイスにバインドされるPasskey。そのデ
バイス外に出ていかない。
• Google Account : Google Password Manager (*2)
• Apple ID : Apple iCloud Keychain (*3)
• 3rd party password manager : Bitwarden, 1Password, etc.
Android, iOS, and macOS have native APIs for 3rd party passkey providers
*1 : https://fidoalliance.org/faqs/#PasskeysFAQs
*2 : https://developers.google.com/identity/passkeys
*3 : https://developer.apple.com/passkeys/
スマートデバイス
Passkey
Passkey
クラウド
サービス:
sync
ユーザー
PC
Passkey
Passkey
同一
別物

8
Passkeys - Same-device認証と Cross-device認証
Same-device Authentication := 認証を行
おうとしているデバイスと同じデバイスにある
Passkeyで認証する。
Cross-device Authentication:=認証を行お
うとしているデバイスとは異なるデバイスにあ
るPasskeyで認証する。
(quoted from passkeys.dev (*7))
*1: https://passkeys.dev/docs/reference/terms/#cross-device-authentication-cda
認証サーバー
ユーザー
PC
Passkey (A)
Passkey (B)
認証
by Passkey (A)
認証サーバー
ユーザー
PC
Passkey (A)
Passkey (B)
認証
by Passkey (B)
via
NFC

9
Passkeys : KeycloakではどのようにしてPasskey認証するか
Registration := 認証デバイスがローカルで認証ののち、 Passkeyで生成された情報
（Attestation）をKeycloakに登録し、KeycloakはこれをユーザーのIDとバインドする。
Authentication := 認証デバイスがローカルで認証ののち、Passkeyで生成した認証用
情報（Assertion）をKeycloakが検証する。
1. Registration
2. Authentication
• Password-less Authentication
• Login-less Authentication (Discoverable Credentials (*1) 限定)
*1 : https://www.w3.org/TR/webauthn-3/#discoverable-credential (Resident Key in webauthn level2)

10
Passkeys : Registration
ユーザー/ブラウザー認証サーバー
(Keycloak)
認証デバイス
(スマートデバイス)
ローカルでユーザー認証。
authenticator attestation responseを生成。
ユーザーの公開鍵と関連情報を封入。
デバイスベンダーの
秘密鍵で署名。
デバイスベン
ダーの公開鍵で
署名検証。
Keycloakは、受け取ったデータ
が正統な認証デバイスにより生
成されたものであることを確認。
ユーザーを認証
user ID
ユーザーの
秘密鍵
認証のための
情報要求
authenticator
attestation response
デバイスベンダー
の秘密鍵
デバイスベンダー
の公開鍵
ユーザーの
公開鍵
キーペアを生成し、user
IDと紐づけ。
user IDとユーザーの公開鍵を紐づけ
Keycloakは、受け取ったデータ
内の公開鍵を、ユーザーのIDと
バインドする。
デバイスベンター
の証明書
ユーザー名
/パスワード
Passkey
Registration := 認証デバイスがローカルで認証ののち、 Passkeyで生成された情報
（Attestation）をKeycloakに登録し、KeycloakはこれをユーザーのIDとバインドする。
user ID

11
Passkeys : Authentication (password-less)
ユーザー名でuser IDを検索。
user ID
ユーザー名
authenticator
assertion response
Authentication: Keycloakは、
ユーザーが認証デバイスで
ローカル認証（Ex. 指紋）され
たことを確認する。.
User IDが入っている場合：
Identificationのフェーズでの
user IDと、assertion内のuser
IDが一致するか検証。
User IDをキーとして、
Registrationにて登録済のユー
ザー公開鍵を取得。
ユーザーの公開鍵
で署名検証。
ユーザーの
公開鍵
ユーザーの
秘密鍵
user ID
(handle)
ローカルでの認証要求
authenticator assertion responseを生成。
User ID（オプショナル）と関連情報を封入。
ユーザーの秘密鍵で
署名。
Passkey
(Keycloak)
認証デバイス
Identification: ユーザーは
Keycloakに自身のID情報
（Ex. username）を伝える。
どのユーザーなのかを示す
情報要求

12
Passkey
Passkeys : Authentication (login-less)
authenticator
assertion response
user ID
(handle)
authenticator assertion responseを生成。
User ID（必須）と関連情報を封入。
(Keycloak)
認証デバイス
Identification &
Authentication: Keycloakは、
ユーザーが認証デバイスで
ローカル認証（Ex. 指紋）され
たことを確認する。.
ユーザーはKeycloakに自身
のID情報（Ex. username）を
伝えない。
認証要求
ローカルでの認証要求
ユーザーの
秘密鍵
ユーザーの秘密鍵で
署名。
User IDをキーとして、
Registrationにて登録済のユー
ザー公開鍵を取得。
ユーザーの公開鍵
で署名検証。
ユーザーの
公開鍵

13
2. 認可機能： OAuth 2.1

14
OAuth 2.1 : Overview
OAuth 2.1 := RFC 6749 OAuth 2.0 Authorization FrameworkおよびRFC 6750
Bearer Token Usageを置き換える、OAuth 2.0の次バージョン。
(quoted from its internet draft (*1))
*1 : https://datatracker.ietf.org/doc/html/draft-ietf-oauth-v2-1-10#abstract
*2 : https://www.keycloak.org/docs/24.0.1/release_notes/index.html#oauth-2-1-support
Keycloak 24からOAuth 2.1をサポート。 (*2)
OAuth 2.0
OAuth 2.1
アクセストークンで認可情報を伝える
認可フレームワーク。
OAuth 2.0をより安全にした
認可フレームワーク。

15
OAuth 2.0 : リスク – API不正アクセス
1. 認可コード要求
ユーザー/
ブラウザー
クライアント
アプリケーション
認可
サーバー
API
サーバー
3. 認可コード応答
5. APIアクセス
HTTPリダイレクト
認可コード
アクセストークン
認可コード
認可コード
フロー
2. ユーザー認証・認可
4. トークン要求・応答
RFC 6750 Bearer Token usage:
アクセストークンを持っている人ならだれでも
そのアクセストークンを使ってAPIアクセスで
きる（Bearer Token）。
リスク: 攻撃者がクライアントアプリケーション
に発行されたアクセストークンを盗聴し、API
に不正アクセスする。

16
リスク軽減: 認可サーバーからアクセストークン
を受け取ったクライアントアプリケーションしか、
アクセストークンを使えないようにする
（Sender Constrained Token）.
実現法1: RFC 8705 OAuth 2.0 Mutual-TLS
Client Authentication and Certificate-Bound
Access Tokens
⇒ 相互TLS（Mutual TLS）を利用。コンフィデ
ンシャルクライアント向け。Webアプリケーショ
ン向け。
実現法2: RFC 9449 OAuth 2.0
Demonstrating Proof of Possession (DPoP)
⇒ 公開鍵アルゴリズムのキーペアを利用。パ
ブリッククライアント向け。ネイティブアプリケー
ション、Single Page Application（SPA）向け。
Keycloakは両方サポートしています。
New!
OAuth 2.1 : コントロール – API不正アクセス
1. 認可コード要求
認可
サーバー
API
サーバー
3. 認可コード応答
5. APIアクセス
認可コード
認可コード
認可コード
フロー
2. ユーザー認証・認可
ユーザー/
ブラウザー
クライアント
アプリケーション

17
OAuth 2.1 : リスク軽減 - DPoP
C
5. APアクセス
認可
コード
アクセストークンを生成。
DPoP
proof
DPoP Proofの署名を検証。DPoP Proofの中の公開鍵
のハッシュ値をアクセストークン内に入れる。
秘密鍵でアクセストークンに署名。
アクセストークンの署名を検証。
DPoP Proofの中の公開鍵のハッシュ値と
アクセストークン内のハッシュ値とを
完全一致で照合。
C
DPoP
proof
DPoP proofを生成。公開鍵を
その中に入れる。
秘密鍵でDPoP proofに署名。
秘密鍵でDPoP proofに署名。
DPoP proofを生成。公開鍵を
その中に入れる。
キーペアを生成。
Keycloak 23からDPoP
をPreview Featureとして
サポートし始めました。(*1)
*1 : https://www.keycloak.org/docs/23.0.7/release_notes/index.html#dpop-preview-support
アクセス
トークン
攻撃者は、クライアントアプリケーションの
秘密鍵がないとDPoP Proofを作れない。
クライアントアプリ認可サーバー APIサーバー

18
Summary
• 認証 : KeycloakはPasskey認証をPreview Featureとしてサポート開始。
• 認可 : KeycloakはOAuth 2.1をサポート開始。
パブリッククライアント向けのSender Constrained Access Token実現に
使えるDPoPをPreview Featureとしてサポート開始

19
Trademarks
• OpenID is a trademark or registered trademark of OpenID Foundation in the
United States and other countries.
• GitHub is a trademark or registered trademark of GitHub, Inc. in the United
States and other countries.
• Red Hat is a trademark or registered trademark of Red Hat, Inc. in the United
States and other countries.
• X is a trademark or registered trademark of X CORP. in the United States and
other countries.
• Facebook is a trademark or registered trademark of Meta Platforms, Inc. in the
United States and other countries.
• Other brand names and product names used in this material are trademarks,
registered trademarks, or trade names of their respective holders.

乗松隆志
2024年5月17日
株式会社日立製作所
OSSソリューションセンタ
END
Keycloak最新動向 - 認証および認可
20

Authentication and Authorization of The Latest Keycloak

Authentication and Authorization of The Latest Keycloak

Recommended

Recommended

More Related Content

Similar to Authentication and Authorization of The Latest Keycloak

Similar to Authentication and Authorization of The Latest Keycloak (20)

More from Hitachi, Ltd. OSS Solution Center.

More from Hitachi, Ltd. OSS Solution Center. (20)

Recently uploaded

Recently uploaded (6)

Authentication and Authorization of The Latest Keycloak