OpenID Connect Client Initiated Backchannel Authentication Flow (CI...

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

OpenID Connect Client Initiated
Backchannel Authentication Flow
(CIBA）のご紹介
~ その新しいUXと実装例のご紹介
2020年1月24日
NRIセキュアテクノロジーズ株式会社...

1
自己紹介
柴田健久（Takehisa Shibata）
2000年株式会社野村総合研究所入社
2008年デジタルアイデンティティ事業（後のUni-ID事業）の企画に参加
以来、同事業の企画推進
2014年デジタルアイデンティティ事...

2
アジェンダ
[デモ] OpenID Connect CIBAを実装してみました
OpenID Connect CIBAとは？
CIBAのシーケンス
CIBAを実装してみて・・・
OpenID Connect CIBAの可能性

さっそくデモをどうそ！

4
当日のデモの流れは以下でした。
子供が親のカードで
決済しようとする
承認待ち画面が表示される
親のデバイスへ
プッシュ通知
FIDO UAFによる認証
決済完了！

OpenID Connect CIBAとは

6
OpenID Connect
Client
Initiated
Backchannel
Authentication Flow
クライアントが
開始した
バックチャネルでの
認証

8
CIBAと認可コードフローの違い
CIBAは、ユーザーやデバイスが分離している
認可コードフロー CIBA
考え方
「サービス利用」する際に、OP上で
ユーザー自身が同一UAで
「認証/認可」を行う
「サービス利用」と「認証/認可」を行う
...

9
CIBAと認可コードフローの違い
CIBAの認可要求はバックチャネルで行われる
認可コードフロー CIBA
認可要求
(認証要求)
ユーザーのUAを介したリクエスト
(リダイレクト)
UAを介さず直接リクエスト
RPはユーザーを特定するヒン...

実装例とCIBAの仕様詳細

11
デモのアーキテクチャ
OPには、CIBA対応済み認可サーバー製品(Uni-ID Libra)を利用
ユーザへの通知基盤のみFirebaseを利用
Uni-ID Libra
Firebase CM
Sample RP
Sample OP
バ...

12
デモのシーケンスに沿ってCIBAを解説していきます

13
その前に登場人物紹介
CIBAでは2種類のデバイスの考え方が新登場
OP
RP子
親

14
その前に登場人物紹介
CIBAでは2種類のデバイスの考え方が新登場
OP
RP
消費デバイス
Consumption Device(CD)
ユーザーがサービスを受けるために役立つデバイス
ユーザー配下にあるとは限らない（銀行窓口、POSレ...

15
デモのシーケンス1/3
RPがユーザを特定し認証要求を投げるまで

16
デモ内容解説1/3
RPがユーザを特定し認証要求を投げるまで(③⑤がCIBA仕様)
OP
RP
③認証リクエスト
＋ユーザー特定のための
3種類のヒントうち一つ
＋binding_message
⑤認証リクエスト
受付完了
+受付番号
(...

17
③バックチャネル認証リクエスト
RPはユーザを特定するための3種類のヒントのうち一つのみをOPに送ります
エンドポイント POST /api/ciba/1.0/authorize
パラメータ必須説明値の例備考
scope 必須 o...

18
③バックチャネル認証リクエスト
RPはユーザを特定するための3種類のヒントのうち一つのみをOPに送ります
エンドポイント POST /api/ciba/1.0/authorize
パラメータ必須説明値の例備考
scope 必須 o...

19
⑤バックチャネル認証レスポンス
認証リクエストを識別する一意の値が返却されます。
OP内でのチェック処理
クライアント認証
リクエストパラメーターの検証（署名されている場合は署名も検証）
もらったヒントからユーザーを特定(どのヒントを処理...

20
デモのシーケンス2/3
OPがユーザの認証デバイスへ同意を求めユーザが同意

21
デモ内容解説2/3
OPがユーザの認証デバイスへ同意を求めユーザが同意(CIBA仕様外)
OP
RP
⑦同意/承認要求
＋hash(auth_req_id)
+binding_message
⑨同意/承認結果
＋hash(auth_req...

22
(CIBA仕様外)認証デバイスにプッシュ通知後、FIDO
UAFで認証を行った後同意を取るように実装
Uni-ID Libra
Firebase CM
Sample OP
バックチャネル
認証EP
トークンEP
プッシュ通知
FIDO R...

23
デモのシーケンス3/3
RPがトークン取得し、トークンを用いて決済完了

24
デモ内容解説3/3
RPがトークン取得し、トークンを用いて決済完了
OP
RP
サンプルサイト
https://www.nri-secure.co.jp/index.html
⑪トークンリクエスト
+受付番号
(⑩通知)
⑫トークンレスポ...

25
デモ内容解説3/3
⑨⑩⑪トークンリクエストは3パターンあります
AD(認証デバイス)上でユーザの認証・同意が終わったことをRPが知る方法は3種類
ある。クライアント登録時にどのモードにするか1つのみ決める必要あり
モード Poll Pi...

26
トークンエンドポイント
通常のトークンエンドポイントに認可コードの代わりに受付番号を渡す
エンドポイント POST /token
パラメータ必須説明値の例備考
grant_type 必須固定値 urn:openid:params...

27
おさらい
OP
RP
AD
CD
ユーザーの同意
バックチャネル認証要求
＋ヒント
＋binding_message トークン要求
＋auth_req_id
認証・同意する人
利用する人
＋binding_message

28
CIBAと認可コードフローの違い
CIBAの認可要求はバックチャネルで行われる
認可コードフロー CIBA
認可要求
(認証要求)
ユーザーのUAを介したリクエスト
(リダイレクト)
UAを介さず直接リクエスト
RPはユーザーを特定するヒ...

29
CIBA(とその周辺)を実装してみて・・・
①ヒントについて
どのヒントをどう定義するのか
パラメータチェック
ヒントの正当性確認
②RPが認証結果を知るための３種類のモードについて
どれがいいのか？安全か？
③Security & Pr...

30
CIBA(とその周辺)を実装してみて・・・
①ヒントが複数ある
どのヒントを使うか？
どう定義するのか？
認証要求時の
パラメータ
ヒントの
正当性確認
login_hint
login_hint_token
id_token_hint

31
CIBA(とその周辺)を実装してみて・・・
①ヒントが複数ある
どのヒントを使うか？どう定義するのか？ → OPRP間で調整
login_hint
login_hint_token
id_token_hint
メアドとかTELを使うのは、...

32
CIBA(とその周辺)を実装してみて・・・
①ヒントが複数ある
認証要求時のパラメータチェック → OP側ちょっとだけ面倒
login_hint
login_hint_token
id_token_hint
これらは独立したリクエストパラ...

33
CIBA(とその周辺)を実装してみて・・・
②3種類のモードがある
モード Poll Ping Push
概要
RPはトークンエンドポイントに対してポー
リング(定期的にリクエスト)を行う
AD上でユーザ同意が完了した後にリクエ
ストを行...

34
③Security Considerations
RPがOPに送るヒントについて
login_hint_tokenは、発行者による署名が必要。OPは署名をチェックすること。
クライアントから送られるid_token_hintは有効期限切れ...

35
③Privacy Considerations
Privacy Considerations
login_hint(特定のヒントとなる何らかの識別子)のプライバシーを考慮する
電話番号やメールアドレスを使うとプライバシーに課題あり
プライ...

さいごに

38
どんなところで使えるのか
CIBA Core Specに記載されているユースケース例
①コールセンターのオペレータが、発信者を認証したい
②銀行の窓口係が、対面で顧客を認証したい
③ユーザーがPOS端末で行っている支払いをユーザーのスマー...

39
色々あるOAuth2.0、OpenID Connectのバリエーション
◼ サードパーティが、ある情報を、所有者の承認
を得たうえで、アクセス可能（認可）にする
◼ ブラウザのような、認可のプロセスに必要な
UIを提供できないデバイスでも...

ご清聴ありがとうございました。
少しでも疑問に思われた方、柴田/赤星まで
お気軽にご連絡ください。
柴田：shibata@nri-seure.co.jp
赤星：akahoshi@nri-secure.co.jp

Share Slideshare

LinkedIn
Facebook
Twitter

Embed

Size (px)

Show related Slideshows at end

WordPress Shortcode

Link

Share
Email

2024 Trend Updates: What Really Wor... by Search Engine Jou... 1033581 views
Storytelling For The Web: Integrate... by Chiara Aliotta 945137 views
Artificial Intelligence, Data and C... by OECD Directorate ... 865593 views
How to Leverage AI to Boost Employe... by SocialHRCamp 363144 views
2024 State of Marketing Report – by... by Marius Sescu 206375 views
Everything You Need To Know About C... by Expeed Software 226977 views

View on Slideshare

1 of 41 Ad

View on Slideshare

1 of 41 Ad