Iddance2 fido

Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved.
2019年11⽉1⽇
ヤフー株式会社上野博司
FIDO認証の基礎から最新動向の共有

⾃⼰紹介
2
名前：上野博司
所属：ヤフー株式会社
主な業務：ユーザーセキュリティ
認証認可開発運⽤
認証系の活動：
FIDO2認定取得したサーバーを世界で初めて開発
FIDO2をサービス事業者として世界で最初にリリース
Web+DB PressにWebAuthnの記事を寄稿
CertificationIn recognition of Yahoo Japan Corporation’s achievement of
FIDO2® Certification
Company: Yahoo Japan Corporation
Product: Yahoo! JAPAN FIDO2® Server
Specification: FIDO2
Specification Version: 2.0 (2018-07-02)
Implementation Class: Server
Policy Version: 1.3.4
Interoperability Date: August 22nd
, 2018
Conformance Self-Validation Date: August 22nd
, 2018
Derivative: No
Source Certificate(s): N/A
Certificate No.
FIDO20020180926009
Issued
September 26th
, 2018

⽬次
3
• FIDO認証とは?
• FIDO認証導⼊で気になること
• FIDO認証の最新状況

Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved.Copyright (C) 2018 Yahoo Japan Corporation. All Rights Reserved.
FIDO認証とは?

FIDO認証とは？
5
ID・パスワード
検証・識別
検証
検証結果
識別
秘密鍵
公開鍵ハッシュ化された
パスワード
パスワード FIDO認証

FIDO2とは？
6
FIDO認証に基づくFIDO仕様群
FIDO UAF FIDO U2F
FIDO2
WebAuthn CTAP

FIDO認証流れ
7
• 登録
• 認証

FIDO認証流れ
8
• 登録
• 認証

FIDO認証流れ説明(登録)
9
認証器 RP FIDOサーバー
登録開始
チャレンジを
含むパラメータ群
アテステーション
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫

10
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
登録の開始をFIDOサーバーに通知
① ②
①

11
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
パラメータ群を
作成しRPの
APPに送り返す
③ ④

12
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
返却されたパラメータ群を整
形して、アテステーションを
作成するメソッドを実⾏
⑤ ⑥

13
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
本⼈性の検証を⾏う
⑦

14
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
鍵ペアを⽣成し、アテス
テーションを作成する
⑧

15
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
公開鍵を含んだアテステーション
をFIDOサーバーに送る
⑨

16
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
アテステーションの検証を⾏
い、公開鍵を保存する
⑩

17
登録開始
チャレンジを
ユーザー
認証用
鍵ペア生成
登録
完了
FIDO
クライアント
①
②
③
⑤
④
⑥⑦
⑧
⑨
⑩
⑪⑫
登録完了をユーザーに通知する
⑪ ⑫

FIDO認証流れ
18
• 登録
• 認証

FIDO認証流れ説明(認証)
19
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫

20
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
①
認証の開始をFIDOサーバーに通知
① ②
※サンプルの画像では「次へ」ボタンを押す前にIDを⼊れる必要がある

21
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
パラメータ群を
作成しRPの
APPに送り返す
③ ④

22
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
返却されたパラメータ群を整形して、署名
データを作成するメソッドを実⾏
⑤ ⑥

23
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
本⼈性の検証を⾏う
⑦

24
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
検証結果に対して秘密鍵で署名し、
署名データを作成する
⑧

25
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
署名データをFIDOサーバー
に送る
⑨

26
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
保存した公開鍵を使い署名
データを検証する
⑩

27
認証開始
チャレンジを
署名データ
ユーザー
認証結果を
秘密鍵で署名
FIDO
クライアント
①
②
③
⑤
④
⑥
⑦
⑧
⑨
⑪
認証
完了
⑩
⑫
Cookieやtokenを発⾏し、認証完
了ユーザーに通知する or そのま
まサービスにリダイレクトする
⑪ ⑫

FIDO認証導⼊で気になること

29
• アカウントリカバリー
• エンタープライズとコンシューマー
• FIDO認証とID連携

30

アカウントリカバリー(AR)
31
デバイスの紛失や破損、別端末への引き継ぎなどに備
えてAR対策はサービスを運営していく上でとても⼤事
になります。
紛失
破損FIDOの使えない
デバイス

32
Yahoo! JAPANではパスワードに依存せず、
様々なプラットフォームで使える本⼈確認⼿段
を提供しています。
パスワードに依存しないFIDO以外の認証⽅法
メール SMS
例

33
https://fidoalliance.org/recommended-account-recovery-practices/

34
導⼊先サービスのセキュリティとUXのバラ
ンスにおいてアカウントリカバリーはとても
⼤事！
Usability
Security

35

エンタープライズとコンシューマー
エンタープライズ(企業)導⼊とコンシューマー(⼀般消費者)導⼊では
FIDO認証を導⼊する際にそれぞれ気にしないといけない点があります
36
認証器プラットフォーム
(OSやアプリやブラウザ)
AR セキュリティとUX
エンタープラ
イズ
• 特定の認証器を配
布しやすい
• シス管の意向に
よって認証器が制
限されやすい
• 特定のプラットフォームの
指定がしやすい
• 会社全体が古いプラット
フォームの場合は部分導
入すら困難
• ヘルプ窓口など
の対面対応がし
やすい
• セキュリティを上げやす
いがUXが上がりにくい
コンシュー
マー
• ユーザーにセキュリ
ティーキーなどの高
価なキーを買っても
らうことが困難
• 複数プラットフォーム対応
を常に考えないといけな
い
• 部分的な導入はしやすい
• オンラインでの
AR手段に依存し
やすい（実店舗窓
口が充実してい
る場合は別）
• UXを上げやすいがセ
キュリティが上がりにく
い（特にARを考える
と . . .）
※あくまでエンタープライズとコンシューマーを⽐べた場合の話です

37

FIDO認証とID連携
38
&
• FIDO認証とID連携とはとても相性が良い
• 例：Yahoo! JAPANでもOpenID Connect を⽤いてYahoo!
JAPAN以外の企業とID連携を⾏っており、FIDO2を導⼊する
ことでサードパーティーにもFIDO認証を使うことが可能となっ
ている

39
End User Federation RP
IdP(Yahoo! JAPAN)
Authorization
Server
Authentication
ServerStart OpenID Connect
Authorization Request(Redirect)
Password login
Authorization Code(Redirect)
Token Request
Access Token / Refresh Token / ID Token
ID連携開始
Token発⾏完了

Copyright (C) 2019 Yahoo Japan Corporation. All Rights Reserved. 40
IdP(Yahoo! JAPAN)
Authorization
Server
Authentication
Password login / Consent
Token Request
ID連携開始
Token発⾏完了
Authentication
ID Federation
ID Federation

FIDOの最新状況

初のFIDOバイオメトリクス部品認定
43
Samsung Galaxyの指紋認証システムが初
のFIDOバイオメトリクス部品認定を取得
FIDOアライアンスが新たに策定したバイオ
メトリクス部品認定プログラムにおいて、
Samsung Galaxy S10・S10+搭載の超音波
指紋センサーがFIDOバイオメトリクス部品
認定を取得（2019年2月20日）
https://prtimes.jp/main/html/rd/p/000000007.000037279.html

Android 7+ がFIDO2認定取得
44
Android 7.0以降のAndroid OS端末
がFIDO2認定を正式に取得
Android OS端末がWindowsや
Chrome OS、macOSデバイスから
Googleアカウントにログインする際
Security Keyとして活用可能
https://fidoalliance.org/news-your-google-android-7-phone-is-now-a-fido2-security-key
https://fidoalliance.org/android-now-fido2-certified-accelerating-global-migration-beyond-passwords/

LINE Pay
45
LINEがiOS版(v1.4.0~)のLINE Payで
FIDO2対応を開始
WebAuthnはなくwhitebox encryption搭載
して認証器はアプリ内に内製
https://twitter.com/nao_ichihara/status/1176333351428341760
https://www.slideshare.net/FIDOAlliance/a-first-step-to-a-world-without-passwords

ゆうちょ銀⾏
46
ゆうちょダイレクトへのログイン
時と送⾦の本⼈認証でFIDOが使
えるようになっている
この対応でハードウェアトークン
が不要となって利便性の向上を
図っている
https://www.jp-bank.japanpost.jp/aboutus/press/2019/pdf/pr190425.pdf

Web Authntication Level2
47
Web Authentication
Level2がEditorʼs
Draftで議論がされ始
めた
https://w3c.github.io/webauthn/

EOP

Iddance2 fido

More Related Content

What's hot

Similar to Iddance2 fido

Iddance2 fido