Bonfire API #1 生体認証のAPI化

Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved
生体認証のAPI化
ヤフー株式会社上野博司

自己紹介

Copyright © 2018 Yahoo Japan Corporation. All Rights Reserved3
自己紹介
• 上野博司
• Yahoo! JAPAN IDの管理開発部署
• ユーザセキュリティ(ID乗っ取りや生体認証)を担当
• FIDO Allianceの活動にも参加
• Outstanding Contributor Award受賞
うえのひろし

目次
• 認証の要素
• パスワード認証の問題
• FIDO認証について
• FIDO認証をブラウザで使うには？

認証の要素

認証の要素
• 認証の要素は大きく分けて3つあります
記憶：本人のみが記憶している情報
• パスワード
所持：本人のみが所持しているもの
• ワンタイムパスワードのトークン
生体：本人の特徴
• 指紋、虹彩、顔

パスワード認証の問題

パスワード認証の問題
利便性の問題
• 複数のパスワードを管理すること
• スマホなどでの入力が困難なこと
• そもそも忘れてしまう
安全性の問題
• パスワードの使い回しが横行
• 外部サービスの脆弱性に依存
• ユーザリテラシーに依存
• リスト型攻撃などに弱い

パスワード問題の解決策
安全性と利便性の両立を目指しています
Poor Easy
WeakStrong
USABILITY
SECURITY
「FIDO認証」
FIDO(Fast IDentity Online)

FIDO認証の概要

FIDO認証とは
公開鍵暗号方式を使って
主に所持認証と生体認証
を実現する認証プロトコル

FIDO認証がカバーする認証の要素
記憶：本人のみが記憶している情報
所持：本人のみが所持しているもの
生体：本人の特徴

FIDO認証モデルの特徴
「本人性の検証はローカルデバイス」
「認証結果の署名検証がサーバ」

FIDO認証モデル
認証サーバーユーザー
秘密鍵公開鍵
検証結果（署名）
• 公開鍵暗号方式を採用
署名
署名を検証
生体認証

生体情報はサーバに送るの？
生体情報はサーバに送られず
ローカルデバイスからは出ません

パスワードの認証モデルとの違い
ID・パスワード
OKパスワード入力
識別
認証
従来的な認証モデル（パスワードなど）
検証
検証結果
OK
FIDO認証
FIDO サーバー
FIDO 認証モデル FIDO クライアント
検証
識別
認証器
ユーザー
クレデンシャル
（認証情報）
検証

登録の基本的な流れ
認証器クライアントサーバー
登録開始
チャレンジ
認証公開鍵
利用者
認証用鍵ペア生成
①
②
③
④
⑤
登録
完了
サーバに公開鍵を登録

認証の基本的な流れ
認証器クライアントサーバー
登録開始
チャレンジ
署名結果
利用者
認証結果を
秘密鍵で署名
①
②
③
④
⑤
認証
完了
署名の検証

FIDO認証をブラウザで使うには？

FIDOでのブラウザAPI
ブラウザAPIを使ってFIDO認証を使える仕様がW3Cで考えられています
https://www.w3.org/TR/webauthn/

Web Authentication
認証サーバ
サーバークライアントデバイス
認証器
ブラウザ
サービスのJavaScript
ブラウザAPI 公開鍵の登録
や署名の検証
を行う
HTTPS通信

Web Authentication
登録（鍵ペアの生成）

Web Authentication
認証(秘密鍵での署名)

Web Authentication
JavaScriptでAPIを叩くだけで
FIDO認証を実現することが可能になっ
てきている！

まとめ

まとめ
Q. FIDO認証ってなに？
A. 公開鍵暗号方式を使って主に所持認証と生体認証を実現するため
の認証プロトコル
Q. 生体情報をサーバに送ったりするの？
A. 認証器に保存されるだけでサーバには送りません
Q. Web Authenticationってなに？
A. JavaScriptを使ってFIDO認証の機能を使えるブラウザAPI

Bonfire API #1 生体認証のAPI化

More Related Content

What's hot (20)

Similar to Bonfire API #1 生体認証のAPI化 (20)

More from Yahoo!デベロッパーネットワーク (20)

Bonfire API #1 生体認証のAPI化