TOKYO Seminar 2018 日本マイクロソフト株式会社 技術統括室 チーフセキュリティオフィサー 河野 省二 氏

1. クラウド時代の認証保護
MicrosoftとFIDO、パスワードレスへの流れ

2. ID管理がセキュリティの
中心となっている

3. 差出人 ファイル URLリンク
ファイル
IoT機器 連携システム
URLリンク ホームページプログラム

4. 正しくIDを管理することで、
96%のお客様の環境で事
故を防いでいます
何千万もの
攻撃を未然に防いでいま
す

5. 99.9%のリスクを多要素認証で回避しています
多要素認証を使っていますか？

6. ユーザとロケーション デバイス
アプリケーション リアルタイム
リスク
with
Azure AD
Conditional Access
Zero Trust

7. 1 2 3 4

8. オンプレミスのアプリ
ウェブアプリ
SaaS
Deviceへの
Microsoft Authenticator
Device + Biometric
デバイス上のBiometric
+
Windows 10やその他のOS
Microsoft Edgeなどのブラウザ
全てのデバイス
Azure Active
Directory
Microsoft
account

9. Admin controls
End-user self-provisioning
FIDO2 for
Azure AD accounts
パブリックプレビュー開始
JANUARY
2019
FIDO2
限定公開
WebAuthn
Support
available to
Windows 10 Insiders
Self-provisioned keys
for MSA
Windows 10
October 2018 Update
SPRING
2018
JULY
2018
OCTOBER
2018

10. シンプルかつ共通のアーキテクチャ

11. バイオメトリクスを利用して端末に保管された
プライベートキーを解除
デバイスから認証要求
Azure ADがnonceを返送
デバイスはプライベートキーを使用してナンス
に署名し、Key IDを利用してAzure ADに返送
Azure ADはリフレッシュトークンとセキュアエ
レメントで保護された暗号化セッションキーを
返送
端末は署名したリフレッシュトークンと
作成されたセッションキーを検証の
ためにAzure ADに返す
2
3
4
5
1
6
6
2
3
4
5
1

12. TPMに保管されたプライベートキーでバイオメ
トリクスを利用してサインイン
Windowsが“hello”を送信
Azure ADがnonceを返送
Windowsがプライベートキーを使用してナンス
に署名し、Key IDを利用してAzure ADに返送
Azure AD はPRTとTPM内に保護された暗号化
セッションキーを返送
Windowsは署名されたPRTと生成されたセッ
ションキーを検証のためにAzure ADに返送
Windows 10 device
6
62
3
4
5
2
3
4
5
1
2
1

13. 6
2
3
4
5
ユーザーUPNに入る
Azure ADがユーザが強力な認証を昼用
とすることを認識し、処理を始める
APNS/FCMを通じてアプリに要求
ユーザが通知を受けてアプリを開く
アプリがAzure ADに接続, proof-of-
presence challenge and nonce受信
ユーザはバイオメトリクスやPINでプラ
イベートキーを解除
プライベートキーで署名されたnonce
をAzure ADに返送
Azure ADは公開・秘密鍵を検証して
トークンを返送
1
APNS/FCM
2
8
1
3
5
7
6
4
7
8

14. FIDO2 security keyでは
1
Windows 10 device
6 3
4
7
9
2
3
4
5
2
1
コンピュータにFIDO2 security keyを接続
WindowsがFIDO2 security keyを検出
Windows端末が認証を要求
Azure ADがnonceを返送
FIDO2 security keyの安全な領域に保管され
たプライベートキーをユーザが解除
プライベートキーを利用してnonceに署名
署名されたnonceによるPRTトークンリクエ
ストをAzure ADに送信
Azure ADがFIDO keyを検証
Azure ADがPRTとTGTを返送し、オンプレミ
スのリソースにアクセス可能に
8
7
8
9
5
6

15. Windows Hello Microsoft Authenticator FIDO2 Security Keys

19. Wingtip Toys

20. Wingtip Toys

21. Wingtip Toys

22. Wingtip Toys

23. Wingtip Toys

24. Wingtip Toys

25. Wingtip Toys

26. Wingtip Toys

27. Wingtip Toys