認証技術、デジタルアイデンティティ技術の最新動向

認証技術、デジタルアイデンティティ技術の最新動向
2016年7月8日
NRIセキュアテクノロジーズ株式会社
コンサルティング事業本部
サイバーコンサルティング部
工藤達雄
〒100-0004
東京都千代田区大手町1-7-2 東京サンケイビル

Copyright © NRI SecureTechnologies, Ltd. All rights reserved. 1
本セッションでは、認証・アイデンティティ技術の
仕様と活用の動向についてご紹介します。
はじめに

工藤達雄 http://www.linkedin.com/in/tatsuokudo/ @tkudos
サン・マイクロシステムズ (1998~2008)
野村総合研究所 (2008~)
OpenIDファウンデーション・ジャパン (2013~2014)
NRIセキュアテクノロジーズ (2014~)
自己紹介

デジタル・アイデンティティに関するコンサルティング・サービスをご提供します

「認証技術」「アイデンティティ技術」の
標準化動向

「認証技術」と「デジタルアイデンティティ技術」
ユーザー認証
エンドユーザー
APP
サービス
サービス提供
アクセス試行
ユーザー認証

アイデンティティ連携
APP
サービスユーザー認証
サードパーティ
Webサイト
アクセス試行
認証依頼認証結果提供

API
サーバー
APIアクセス認可
APP
APIクライアント
（Webサイトなど）
サービス
アクセス試行
APIアクセス
許可要求
APIアクセス
許可
APIアクセス
Webサイト
ユーザー認証

API
サーバー
アイデンティティ・プロビジョニング
APP
サービス
Webサイト
エンドユーザー /
管理者
ユーザー情報
追加・変更・削除
ユーザー情報
同期

API
サーバー
オープン標準 “FIDO” “SAML” “OpenID Connect” “OAuth” “SCIM”
APP
サービス
アクセス試行
サービス提供
ユーザー認証
アクセス試行
APIアクセス
許可要求
APIアクセス
許可
APIアクセス
Webサイト
アクセス試行
認証依頼認証結果提供
エンドユーザー /
管理者
ユーザー情報
追加・変更・削除
ユーザー情報
同期

「ローカル認証」と「オンライン認証」を分離
ユーザー検証はローカルに行い、ユーザー検証結果のみがオンラインに流れる
ユーザー認証: FIDO
Source: “FIDO技術のさらなる広がり” https://fidoalliance.org/wp-content/uploads/FIDOTokyoSeminar-gomi-112015-ja.pdf

FIDO認定製品が急速に増加
FIDO (Cont.)
Source: “FIDO Certification” http://www.slideshare.net/FIDOAlliance/fido-certification

アイデンティティ情報を安全に流通させるためのXML形式、及び通信仕様
2005年にSAML 2.0が標準化団体OASIS Openにて仕様化
アイデンティティ連携: SAML
Source: 第一回Liberty Alliance技術セミナー資料
Profile
特定のユースケース（SSOなど）を実現するうえでの、アサーション、
プロトコル、バインディングの組み合わせを規定。
Binding
リクエストおよびレスポンスの手続きを、実際にIdPとRPの間
でどのように実施するか規定。直接通信（SOAP）や、ユーザ
エージェントを介在させるHTTPリダイレクト通信などが存在。
Protocol
アサーションの送受信を実施するためのリクエストおよび
レスポンスの手続き。
Assertion
ユーザのID名や認証方法およびそのユーザの属性
や権限に関する表明。

多くのSaaS提供事業者が、利用企
業との間のアイデンティティ連携の
ベースとして採用
SaaS契約企業の社員が、社内
SSO（シングル・サインオン）で
ユーザー認証を受け、社外の
SaaSにログイン
その他、B2B（業務目的での企業間
連携）や、高等教育機関でのフェデ
レーション・ネットワークのベースとし
て採用
SAML (cont.)
SAML in wide use for single sign-on: 67 percent
of the SaaS vendors surveyed use SAML today
for single sign-on identity management, while 19
percent said they planned to implement SAML
within the next 12 months. Only 3 percent had
no plans to implement the standard.
Source: Survey Shows: SAAS Vendors Ditch User Names And Passwords, Adopt SAML In
Droves - Cloud Security Alliance Blog : Cloud Security Alliance Blog
https://blog.cloudsecurityalliance.org/2014/02/24/survey-shows-saas-vendors-ditch-user-
names-and-passwords-adopt-saml-in-droves/

OAuth 2.0仕様をベースに「アイデンティティ層」を拡張し、認証結果や属性
情報の連携、セッション管理などのAPIを標準化
2014年に “OpenID Connect 1.0” が確定
アイデンティティ連携: OpenID Connect (OIDC)
リライング・パーティ
(RP: ID情報要求側)
Webアプリ
ケーション
モバイル
アプリケーション
ライブラリや
パッケージの
導入が不要
ネイティブ
(non-Web)
アプリでも
利用可能
認証結果/属性情報提供
JWT * によって
セキュアにID情報を提供
* JSON Web Token
アイデンティティ・プロバイダ
(IdP: ID情報提供側)
SSO / アクセス
管理システム
“Self-issued IdP”
OpenID
Connect
対応製品が
続々登場
携帯端末が
IdPに
認可リクエスト/APIアクセス
OAuth 2.0による
API認可と統合

主要ID/API連携仕様がすべてOpenID Connectに収斂
OpenID Connect(cont.)
Source: http://civics.com/OpenID-connect-webinar/
セキュリティ・
アサーション
JSON形式の
「IDトークン」
サービス発見
シンプル、APIとの親和性、
モバイル対応
動的なクライント
登録

「アクセストークン」によるAPIアクセス認可のフレームワーク
APIアクセス認可: OAuth
リソースオーナー
リソース
サーバー
APP
認可
サーバー
クライアント
HTML5
WEBSITE
0
0. リソースへのアクセスを
リクエスト
1
1. 認可
リクエスト
2
2. ユーザー認証 &
クライアントへの権限委譲の確認
3
3. OK!
4 4. アクセストークン
提供
5
5. アクセストークンを
使ってAPIアクセス

2012年の“OAuth 2.0” (RFC 6749, 6750) 策定後も、多数の仕様が
Proposed Standard RFCに
OAuth (cont.)
RFC # Title
RFC 7009 OAuth 2.0 Token Revocation
RFC 7519 JSON Web Token (JWT)
RFC 7521 Assertion Framework for OAuth 2.0 Client Authentication and Authorization Grants
RFC 7522 Security Assertion Markup Language (SAML) 2.0 Profile for OAuth 2.0 Client Authentication
and Authorization Grants
RFC 7523 JSON Web Token (JWT) Profile for OAuth 2.0 Client Authentication and Authorization
Grants
RFC 7591 OAuth 2.0 Dynamic Client Registration Protocol
RFC 7636 Proof Key for Code Exchange by OAuth Public Clients
RFC 7662 OAuth 2.0 Token Introspection
RFC 7800 Proof-of-Possession Key Semantics for JSON Web Tokens (JWTs)

アイデンティティ管理のための「スキーマ」と「プロトコル」を定義
スキーマ: ユーザーやグループなどのJSON表現であり、要件に応じて拡張可能
プロトコル: RESTfulなAPIとしてCRUD、検索、ディスカバリ、一括（バルク）処理を規定
2015年に “SCIM 2.0” (RFC7643, RFC7644) がProposed Stadard RFCに
アイデンティティ・プロビジョニング: SCIM (System for Cross-domain Identity Management)
利用企業A社
プロビ
ジョニング
システム
SCIM Service Provider
（RESTful API)
SaaS A社
SCIM Service Provider
（RESTful API)
SaaS B社
JSON
SCIM
Consumer
JSON

SlackやFacebook at Workなど、
比較的新しいエンタープライズ向け
SaaSが相次いでSCIM APIを提供
アイデンティティ管理ソフトウェア
/SaaSのSCIMクライアント機能の
実装も進む
Google, Okta, SailPoint,
UnboundID, OneLogin, Oracle,
Microsoft, CA, etc.
SCIM (cont.)
Source: SCIM API | Slack https://api.slack.com/scim,
SCIM User Account Management - Facebook at Work
https://developers.facebook.com/docs/facebook-at-work/provisioning/scim-api,

アイデンティティ活用の最新事例

B2Cサービスにおける適用例
各種API
一般生活者
APP
“Google
Identity
Platform”
アクセス試行
サービス提供
ハードウェアを用いた二要素認証
アクセス試行 Googleの各種APIへの
アクセス許可要求
APIアクセス
Webサイト
アクセス試行
Google Accountでログイン

B2Eにおける適用例
業務
システム
社員
APP
ID管理/
SSO/
API管理
ユーザー認証
アクセス試行
API
アクセス
Slack, Facebook at Work etc.
業務
SaaS
アクセス試行
社員・組織情報
の伝播
社員ID情報の
同期
人事
システム
社員IDでクラウドサービスにSSO
業務システムの各種API
へのアクセス許可要求
業務システム
フロントエンド
API
ゲートウェイ
レガシー
接続

英国 “The Open Banking
Standard” が、今後策定予定の
The Open Banking API では
OAuth 2.0 と OpenID Connect
を採用するよう推奨している
“A core principle of this
report is informed consent”
誰を認可するか、なにを認可
するか、いつまで認可を有効
にするかが重要
金融サービス分野におけるアイデンティティ技術の活用
Source: The Open Banking Standard https://www.scribd.com/doc/298569302/The-Open-Banking-Standard
OAuth 2.0 in conjunction with OpenID Connect
are recommended as authentication protocols of
choice

ドイツFidorやスペインBBVAなどが、すでにOAuth 2.0を活用した「金融
API」を提供している
金融サービス分野におけるアイデンティティ技術の活用 (cont.)
Source: Fidor API Reference http://docs.fidor.de/#understand-oauth,
Documentation – APImarket https://www.bbvaapimarket.com/web/api_market/bbva/bbva-connect/documentation

「アイデンティティこそがペリメーター」
Source: Cloud Identity Summit 2012 TOI http://www.slideshare.net/tkudo/cis2012toi

Google社内における情報アクセス管理
のイニシアチブ
社内ネットワークも社外ネットワークも等
しく信用しない (“Zero Trust”)。ユーザー
が属する物理的な所在地やネットワーク
に依存しない
アクセスする「ユーザー」、利用する「デ
バイス」、そして「その状態」をベースに、
動的にアクセスレベル（「ティア」）を決
定・施行する
BeyondCorp
Source: Google

BeyondCorpを構成するコンポーネント
Source: BeyondCorp: Design to Deployment at Google https://research.google.com/pubs/pub44860.html
「推測器」。デバイスの状態を継続的に分析し、
「トラスト・ティア」をセットする。デバイスの状況
が変化したり、デバイスからの状況更新が途絶
えるのをトリガーに再評価を行う
デバイスの状態を収集・
処理・提供する
アクセスポリシー、Trust Infererの分析結果、アクセス対象リソース、リアルタ
イム・クレデンシャルを元に認可決定を行い、ゲートウェイにそれを施行させる
リソースへのアクセス認可に必要な
トラスト・ティアなどを定義する
リソースへのアクセス
を制限・許可する
アプリケーションや
ネットワークなど

多分に「Google社ならでは」
Device Inventory Serviceには
1日あたり300万件のデータが
集まる
▪ 2016年時点で計80TB
非常に強力なデータセンター間
ネットワーク（B4）が構築されて
いる
ITシステムを内製している
Googleではない一企業が
BeyondCorpのコンセプトを実践
するには別のアプローチが必要
中核となるのはIDaaS + CASB
BeyondCorpを支えるインフラストラクチャ
Source: BeyondCorp: Design to Deployment at Google https://research.google.com/pubs/pub44860.html

IDaaS (Identity as a Service)+ CASB (Cloud Access Security Broker) = これからのSSO/アクセス管理基盤
~2010
• 社内システムは社内IDを用
いてSSOが可能となってい
る
• SSOシステムが組織や職
掌に応じてアクセス・コント
ロールを行う
• SaaSへのログインはSSO
できていない
~2015
• 社内システムおよびSaaSに対
し、共通ID（社内/IDaaS）を用い
たSSOが可能となる
• しかしSaaSはSSOシステムの
管理下に無いため、ログイン後
のアクセス・コントロールを行う
ことはできない
Now and Future
• IDaaSが社内SSOシステムと完
全に統合される。もしくはIDaaS
が社内システムを直接管理す
る
• IDaaSによるSSOの後、CASB
がユーザーのアクセス・コント
ロールを行う
• IDaaSとCASBは相互に連携す
る

まとめ

主要なアイデンティティ技術がオープン標準として確立しつつある
標準をサポートするソリューションやサービスが利用しやすくなってきている
→ 実装のコモディティ化へ
金融業界やエンタープライズなど、共通のユースケースに対しての適用パターンを
模索する動きが進んでいる
→ 専門性の高度化へ
“The Identity Moment” が近づいている
まとめ

“TCP/IP Moment”
ネットワーク業界でTCP/IPそのものに代金を
支払わなくなった瞬間
ネットワークスタックにはお金を払わなくなった
が、ネットワーク関連の仕事はなくなるどころ
か、ますます増えて、より多くのネットワークエ
ンジニアが必要になった
アイデンティティ業界も “TCP/IP Moment”
に相当する瞬間を迎えつつある
Standards-based identity
Outcomes-based identity
Professionalized identity
「アイデンティティ・モーメント」
(http://www.slideshare.net/oidfj/identity-openid-foundation-japan-eiwg-2016 を一部抜粋・翻案)
Source: https://www.kuppingercole.com/watch/eic16_keynote_glazer
Source: https://www.tuesdaynight.org/2016/05/11/the-moments-ahead-for-identity/

Ian Glazer 氏曰く:
 「プライバシー業界」「セキュリティ業界」は、専門性が必要であ
り、専門家が必要な分野であると認知されている。しかし「アイ
デンティティ業界」はそうなってはいない
 ISACAは1976年、IAPPは2000年、ISC2は1988年に、それぞ
れ設立された。CISSP認定は1994年に始まった。しかしアイデ
ンティティ・プロフェッショナルを代表する組織はいまだに存在し
ない
 A place for…
▪ professionals to learn how to make their programs and
projects more successful
▪ professionals to learn how to grow their own careers
▪ professionals to learn how to work with their peers from
security, privacy, and lines of business
カンターラ・イニシアティブにてアソシエーション設立に賛同
する方の署名を受け付けています
https://kantarainitiative.org/digital_identity_professional/
「ディジタル・アイデンティティ・プロフェッショナル・アソシエーション」
Source: How many have signed the pledge?
https://groups.google.com/d/msg/wg-fi/LQecYDa1Ds8/8kploLshAwAJ

認証技術、デジタルアイデンティティ技術の最新動向

認証技術、デジタルアイデンティティ技術の最新動向

More Related Content

What's hot

Viewers also liked

Similar to 認証技術、デジタルアイデンティティ技術の最新動向

More from Tatsuo Kudo

認証技術、デジタルアイデンティティ技術の最新動向