パスワードレスのWeb認証
生体認証の標準「FIDO2」の解説～ 改修不要で既存Webを「生体認証」に対応させる方法も紹介～

株式会社 ムービット

2

会社概要

社名

株式会社ムービット

設立

1995年12月8日

所在地

東京都北区王子1－28－6

主な製品

Powered BLUE シリーズ

アプライアンスサーバー ( Linux )ソフトウエア開発

4

ダークWeb

ダーク・Web

サーフェス・Web

特定のソフトでアクセス

一般的なブラウザ
でアクセス

6

ダークWeb / データやアクセス権の売買■ 医科系大学へのアクセス権
999ドル■ 米国有力企業へのアクセス権
1万ドル■ ランサムウエアのサービス
900ドル

7

某

ファイル交換サイト

480万件ID漏洩

2019年1月

ID

メールアドレス

Passwd 生のパスワード

生年月日・性別・職業 …

9

パスワード流出チェックサイト
https://haveibeenpwned.com/②①① パスワードを入力② pwned ? を押す
Oh no --- pwned !
残念でしたGood news — no pwnage
found!
大丈夫

10

多要素認証が必要とされる背景■

リモートワーク
社員の自宅や出先からのアクセス対応■

ID・パスワードの窃取対応■

安全を担保できる仕組みが多要素認証（MFA）

11

Google やSalesforce

多要素認証■ Google社は「Googleアカウントの二要素認証を自動的に有効化」■ SalesforceはMFAの必須化

13主な認証方式

利用時のポイント

認証メソッド特徴

ID/パスワード認証

パスワードの使いまわし
漏洩している可能性あり

SMS認証

送信ごとに課金される（運用者側）
エリア外だと受信できない

アクセス毎にワンタイムパスワードの入力が必要
ワンタイムパスワード認証

無償のソフトウエアトークンが利用できる

アクセス毎にワンタイムパスワードの入力が必要
SSLクライアント認証

SSLクライアント証明書を配布する必要がある

生体認証

認証器を用意する必要がある
15

SMS認証は安全か

Google では？

SMS認証 は 使用可能

Salesforce では

SMS認証 の 利用禁止 17

SIMスワップ

電話番号の変更が簡単

19

Google SMS 非推奨へ

2022/5/17

CNET Japan21

生体認証とは

■

指紋認証

■

静脈認証

■

顔認証

■

虹彩認証

• 利用者が保有する生体「固有の情報」を利用• 生体固有の情報は「複製が出来にくい」 ことを利用

22

ユーザ自身の特徴（生体情報）
認証メソッド特徴

指紋認証

スマートフォンなどのロック解除での利用10本の指が利用できる

顔認証

スマートフォンなどのロック解除での利用チケットの転売防止での利用
顔は一つ

虹彩認証、網膜認証

ユーザの目の虹彩または網膜により認証する。
目は2つ

静脈認証

ユーザの指や手の静脈により認証する
ATMなどで利用登録できる静脈のポイントは複数
24生体認証の判定基準

顔の目、鼻、口などの 特徴点 の位置や顔領域の位置や大きさをもとに照合

25

ユーザ自身の特徴（生体情報）
認証メソッド

価格

認証精度

不変性

備考

指紋認証

◎〇

◎

接触
機器の種類が豊富
指紋認証が困難な場合

顔認証

〇〇

〇

非接触
マスクでの認証

虹彩認証、網膜認証

△〇

◎

非接触
機器の選択肢が少ない

静脈認証

△◎◎

非接触
機器の選択肢が少ない26

FIDO2（ファイド）/ Windows HELLO/ eKYC

項目特徴

生体データ保管先

FIDO2

FIDO アライアンスが標準化している
Webアクセス時の生体認証の標準規格。

利用者側の端末内

Windows
HELLO

Windows 10 / 11 へのログイン時の生体認証

利用者側の端末内

eKYC

オンライン経由での本人確認サービスの利用先

免許証、パスポート、マイナンバーカードを写真撮影
本人の顔写真をアップロード
生体データの 保管先 は 重要 です27

FIDO（ファイド）アライアンス■ 2012年

FIDOアライアンス設立

Paypal / Lenovo など参加

パスワードのわずらわしさを解消することを目的として設立■ 2018年

FIDO2の規格

30

FIDO2 / （ファイドツー

■ 生体認証Web）

利用 してに ログイン できる 標準規格
を⇒ブラウザでWebへアクセスする際の生体認証の規格■ FIDO2 の 大きなユーザーメリット はハード・ソフト が 対応済
33

FIDO2 / 対応の機器■ Windows 10 / 11 / Mac / アンドロイド携帯

■ブラウザ
■ iOS
■生体認証器（USB）

34

生体情報の保護

FIDO2

公開鍵暗号方式（公開鍵・秘密鍵）で通信
生体情報は外部へ漏洩しない35

Yahoo

かんたんログイン生体認証の案内メール

2022/5/26 受信のメール

FIDO237

FIDO2/生体認証の特徴■ パスワードレス認証
パスワードを覚える必要がない
パスワードの使いまわし・パスワードの定期的な変更からの解放■ なりすまし防止
生体情報は偽造しにくい
第3者がユーザー側の「認証器」を利用しても認証されません■ 生体情報の漏洩防止
生体情報はユーザー側の「認証器」内に保護

38

FIDO2 対応

スマートフォン・ユーザー

指紋認証や顔認証の登録方法

39

FIDO2 対応

指紋認証器

PCユーザー40Windows 10 / 11 指紋登録手順

42

Windows 10 / 11 指紋登録手順43

指紋登録手順44

指紋登録手順45

指紋登録手順48

指紋登録手順49指紋登録手順

他の指も登録できます50

WebサイトへのFIDO2対応生体認証の導入

51

Webへの生体認証の導入方法

１）

FIDO2認証のSaaSを利用

２）

FIDO2対応のWebを利用

３）

FIDO2対応のリバースプロキシを利用

53

１）

FIDO2認証のSaaSを利用

既存Web/ API を利用してFIDO2の認証

54

２-1）

LINE

OSSのFIDO2を利用

55

２-2）

Strongkey community editionを利用

56

認証対応

「Powered BLUE 」 アプライアンス①

Web / Mail / DNS 機能 / マルチドメイン対応 / GUI②

AD認証 / OTP認証 / SSLクライアント認証
SAML認証③/ Open ID Connect/ 生体認証リバースプロキシ
認証対応Webサーバー①＋②

認証対応リバースプロキシ①＋②＋③57

A) 新規構築

生体認証対応Web 「Powered BLUE Web for Biometrics」①

Web / Mail / DNS 機能 / マルチドメイン対応 / GUI②

AD認証 / OTP認証 / SSLクライアント認証
SAML認証/ Open ID Connect/ 生体認証

認証対応Webサーバー①＋②58

生体認証対応Webへのパスワードレス・アクセス①

iPhone / iPad / Android でのアクセス②

パソコンでのアクセス60

B) 既存Web

生体認証対応リバースプロキシ「Powered BLUE Reverse Proxy for Biometrics」①

Web / Mail / DNS 機能 / マルチドメイン対応 / GUI②

AD認証 / OTP認証 / SSLクライアント認証
SAML認証③/ Open ID Connect/ 生体認証リバースプロキシ
認証対応リバースプロキシ①＋②＋③61

リバースプロキシ

リダイレクト先Web の 隠蔽62

リバースプロキシ例

びっくろ
www.big-c.co.jp

0www.uni-black.com
0 リバースプロキシ

http://www.uni-black.com/

1 リバースプロキシ先

http://www.big-c.co.jp/pc

ブラウザへのURL表示

http://www.uni-black.com/pc

64

リバースプロキシへ生体認証付加

サーバー名

見える

既存Webの改修不要

サーバー名 見えない

OTP認証
SSLクライアント認証
AD認証
SAML認証 / Open ID Connect
生体認証

65

リバースプロキシへ生体認証付加

既存Webの改修不要

66

生体認証対応リバースプロキシへのパスワードレス・アクセス①

iPhone / iPad / Android でのアクセス②

パソコンでのアクセス

69

生体認証は2要素認証（多要素認証）■

スマートフォン・ユーザー
iPhone / iPad / Android 端末保有（1要素目）■

PC・ユーザー
指紋認証器の保有（1要素目）■

生体認証（2要素目）■

パスワード（3要素目）

73

Powered BLUE アプライアンス の 位置

自社運用 = オールインワンのアプライアンス
Powered BLUE

( OS＋アプリ＋GUI )

Pass
IaaS

OS まで

自社で運用

74

アプライアンスでの提供・動作環境■ 自社管理で運用できるアプライアンス

75

Web

Meetingが急速に浸透した理由

環境項目

インフラ

ノートPCにWebカメラが搭載されていた狭いインターネット回線でもWebmeetingを利用できる環境

Zoomが無償で利用できた①

インフラは整備済②

コロナで急速に広がった76

FIDO2生体認証を導入するためには

環境

項目

インフラ

汎用のPCやスマートフォン (すでに保有している）
ブラウザ

（対応済）

顔認証や指紋認証（スマートフォンに内蔵&使用）
PC（USBの指紋認証器を付加）

インフラやユーザー環境は整っている
77

おさらい

「Webサイトを生体認証に対応させる方法」■ 生体認証FIDO2 のユーザー環境は整っている■ 既存Webの修正不要
生体認証対応のリバースプロキシを利用

78

Webサイトhttps://www.mubit.co.jp/

79