2

1-新世代ビジネスプラットフォーム

OpenID の動向と課題
第石川和也●日本ベリサイン株式会社 リサーチ室 室長部

1

ネットビジネス動向

さまざまなウェブサービスが OpenIDに対応
IDプロバイダーの信頼基準の確立が重要
ブログからEC サイト、オンラインバンキングに至るまで、もちろん、どの身分証でも同じ機能を果たすわけでは多くのウェブサイトが個別にユーザー IDとパスワードをないように、OpenIDでも、最終的にサービスを提供（許可）発行し、そのID による認証を経てサービスを提供していするかどうかはサービス事業者（Relying Party＝RP）がる。ユーザーにとっては利用するウェブサイトが増えるた決定する。OpenID ではユーザーがサービスに登録するびに発行されるID が増え、それらを管理する手間も増え手間が大幅に軽減されるため、事業者にとってはユーザーる。自分のブログをトラックバックしたブログへコメントを利便性の向上につながる。もちろん、そのサービスをより返すときや、マッシュアップされたウェブサイトのように画良くするために必要な個人情報は、OPもしくはユーザー面上では単なるリンクであったり単一サービスとして見えから直接獲得することになんら問題はない。OpenID にたりする場合でも、何度もユーザー登録や認証を求めら準拠することで、ほかの ID 認証用 WebAPIとは異なり、れることがあり非常に面倒だ。こうした不便を解消するの複数の OP に登録されたユーザーの受け入れが可能となが OpenIDである。

り、より多くのユーザーを低コストで呼び込めるのだ。

OpenID 利用の仕組み

OpenID のこれまでの動き

OpenIDでは、ユーザーが、自分で選択した OpenIDプ

2005 年に発表された OpenID は、当初、ほかのシングロバイダー（OP）に IDを登録し、そのIDで複数の異なるルサインオン（SSO）ソリューションと同様に、「もう1つのウェブサイトを利用する。OP で認証を受けた IDは、ウェID」としていくつかのウェブサイトで利用されるにとどまっ

ブサイトごとに認証を行う必要はなく、OpenID に対応していた。しかし2007年 2月にマイクロソフトとAOL が相ているどのウェブサイトでも利用可能だ。ID は URL 形

次いでサポートを表明したことに続き、同11月にグーグル式（http://ishikawa.openid.net/など）もしくは XRI 形式が対応を発表したことで市場から注目される存在となった。

（=ishikawaなど）を利用でき、複数のIDを持つこともできる。

さらに、OpenID 推進団体としてOpenIDファウンデーションが米国と欧州に相次いで設立され、標準化と知的OpenID では ID はサービス事業者によって割り振られ財産管理を行う基盤も整ってきた。2008 年 1月にはヤフー

るのではなく、ユーザー自身が利用目的、利便性、安全性もサポートを表明し、日米で ID の提供が開始された。グーを考慮してOPを選択して自分の ID を預け、用途によっグル、IBM、マイクロソフト、ベリサイン、ヤフーの 5 社がて IDとOPを使い分ける。たとえば、ブログではよりクー幹事会社としてOpenIDファウンデーションに加盟し、大ルな ID（OP）を利用し、EC サイトではより安全性の高い手事業者による普及活動も始まっている。国内では 2007運営や認証を提供しているOP を利用する、などだ。ID年よりニフティ、はてな、ライブドアなどが対応した。2008

を、ログイン用の鍵ではなく身分証明書のようなものと考

年 2月にはミクシィやインフォテリアも対応を発表し、シッえればよい。複数の種類の身分証を用途別に持つように、クス・アパート、日本ベリサイン、野村総合研究所が発起人

OpenIDでも複数のIDを使い分けて利用できる。

となりOpenIDファウンデーションの日本支部が設立に向OpenID のユーザーにとって、ID は自分が管理されるけて動き出した。2008 年 2月の時点で、世界中にユーザータグではなく、自分を示す識別子の役割を持つ。コミュニは 2 億 5000 万人、利用サイト数は 1 万以上となっている。

ケーションのためにメールやブログのアドレスを公開するように、自分の IDも選択したり公開したりして利用できる。これが OpenID がユーザー中心（セントリック）なデジタルIDと呼ばれるゆえんでもある。

38 インターネット白書 2008

プロバイダーの選択が OpenID の課題
OpenID の 基 本 となるプ ロトコル（OpenID Authenticaion 2 . 0）には、現在のところセキュリティ上の問題は

新世代ビジネスプラットフォーム

図1

OpenID での認証の流れ
利用者①利用者からRPへIDの提示②RPからOPへリダイレクト③RPとOP間で照会のやり取り④OPから利用者へ本人確認⑤本人確認の返事（パスワード）⑥パーミッションベースで利用者の属性情報を提供⑦サービス利用の許可

Cookieなどには依存しない
第1部

発見されていない。いくつかの懸念はあるが、その多くはOpenIDに限ったものではなく、SSO やインターネットサー
ビスが利用できるため、そのパスワードが盗まれるとすべ

②

①

⑥

⑦てを盗まれてしまう」など、ユーザーの誤解や不注意によ

認証方式は
OPが選択

④

属性情報の例○氏名○メールアドレス○ニックネーム○誕生日○郵便番号 ほかる懸念もある。
OpenIDでは、認証をパスワードに限定しているわけではない。ID の安全性をより高めたいと思うユーザーは、パーミッションベースで属性情報を提供

パスワードより強力な認証機能を提供するOPを選択すればよい。RP が個別に認証の強化対応を行わなくてもユー
ザー自身が自分のID の安全性を高めることができ、前述の懸念も低減される。したがって、その OP の選択こそが⑤

ネットビジネス動向

ビスに共通の課題だ。あるいは、「1つのIDで複数のサー21-③
RP（サービス事業者）OP(OpenIDプロバイダー）最大の課題であると言われている。
OP がどのような認証を行い、どのように IDを登録・管理するかについて統一的な基準や公開義務がないためるように、インターネットで普及した技術がイントラネットに、ユーザーはどの OP が自分の利用目的に合った認証をでも利用されることは珍しくなく、OpenIDも長期的には提供しているか判断が難しい。また、RP は各 OP で発行社内で使うIDとしての普及が予想される。インターネットされた IDを受け入れるかどうか自社で判断しなければな

でウェブサイトごとに異なるID が発行されているように、らないが、その OP の信頼性に対する基準やそれを知るイントラネットでもアプリケーションごとにそれぞれ個別の手立てがないのが現状である。そのため、ユーザーが自IDを利用している。この状況を解決するため、OpenIDを分の情報登録を止めてしまったり、サービス事業者が RP利用して1つのIDで複数のアプリケーションを利用できるになるのを躊躇したり、もしくは自社でもOPとしてのサーようにすることが考えられる。

ビスを行い登録されたユーザーのみを受け入れるという特に、社内システムをSaaS などの外部サービスを利用状況が発生したりしている。これでは OpenID のメリットして構築し、利便性を向上させようとする場合、サービスが十分に活かされているとは言えない。

ごとに社員情報を外部に預けるのは、管理コストを増加さ

このように、ユーザーとRP が、どのようにOPを選ぶ（受せるだけでなく、リスクも増やしてしまう。したがって、社け入れる）かが非常に重要なポイントであり、この信頼関員情報とIDを一元管理し、SaaS から切り離して管理でき係が機能しないとOpenID を安心して利用することは難ることが必要になる。SSO の導入によりID 管理だけを各しい。そのため、OpenIDファウンデーションが中心となSaaS から切り離すことはそれほど難しいことではない。しり、OP の信頼性や評判、認証の強度、運用レベルをユーかし、現状では複数の SSO が乱立しており、SaaS 事業者ザーやRP が知ることができるようにする動きが始まってもそれらすべてをサポートできるわけではなく、対応は様いる。たとえば、PAPEと呼ばれる拡張機能により、RP が子見の状態であった。

OP の認証レベルを確認したり、OP の評判を数値化した

SaaS 事業者が OpenIDを採用すれば、インターネットり、などが検討されている。2008 年 2月のRSAカンファレサービスとシームレスに統合でき、より多くのサービスとンスでも、OPとRP の契約面や法律面での検討が行われ連携することが可能となると同時に、SSO に個別対応するなど、この課題を解決するために業界全体が動き出してる必要もなくなる。各 SSO 技術でも、OpenIDに対応するいる。2008 年中にはこれらの仕様が固まり、それに準拠ことで、ほかの SSOとの相互接続を確保し、利用面・運用したより信頼できるOP の業務が始まることで、OpenID面の手間が軽減される。今後は、こうした利点により対応が普及していくと思われる。の検討が進んでいくだろう。いずれにせよ、OpenID が標

OpenID の今後の動き
2008 年に注目したいもう1つの点は、イントラネットでの利用に向けた動きである。Eメールやウェブに代表され準の地位を確立するためには、SaaS 事業者との連携によるイントラネットでの利用がどこまで進むかも大きなポイン
トであり、2008 年はそのための標準化と実証・検証が活発になるものと思われる。

インターネット白書 200839