LoA 1認定プログラム
中村素典 / 国立情報学研究所

 認証


利用者が誰であるかの確認

 認可

その利用者が持つ権限に対応した利用許可

認証サービス
(IdP: ID Provider)
認証

利用者が誰かどのような属性を持つか(Identity)
認証情報・属性情報

サービス(SP: Service Provider)
認可

PKI署名

利用者
利用者が誰であるかの確認

実在性
2

本人性

その利用者が持つ属性に基づく利用許可
SINET&学認説明会-LoA1認定プログラム クレデンシャルの一元（集中）管理

セキュリティレベルの統一が容易 クレデンシャルの入力先の一元化


高度な認証技術の導入が容易

 シングルサインオンへの応用


SSOは主目的ではない（再認証を求める運用も可能）

 「ID」（識別子）と「属性」の分離


仮名認証が可能 学生のみ、教員のみがアクセス可能なサービス

グループアクセスのための認証
 グループ情報の提供により共有パスワードが不要

3

SINET&学認説明会-LoA1認定プログラム

 異なる組織が個別に管理するため、相互の信頼が重要
認証サービスは、変な利用者にサービスを不正に利用させたりしていないかな？
属性情報の内容は正しいかな？

サービスは、利用者に関する情報を、目的外利用しないかな？

サービス(SP)

認証サービス(IdP)
認証

認証

管理者
サービスの利用

信頼のための共通の枠組み（トラストフレームワーク）が必要
4

認可

利用者

管理者



認証情報・属性情報

運用レベルの統一
SINET&学認説明会-LoA1認定プログラム 一律のポリシーに基づく信頼フレームワークの導入により、個別契約でのN×Mの関係が、N＋Mの関係に削減
個別契約

IdP

信頼フレームワーク
SP

SP

IdP
契約

SP

SP
IdP

IdP

T
F
P

SP

IdP

SP
5

IdP

Trust
Framework
ProviderSINET&学認説明会-LoA1認定プログラム

SPSP属性内容

実際に使われる属性情報の例

OrganizationName (o)組織名

jaOrganizationName (jao)

組織名（日本語）

OrganizationalUnit (ou)組織内所属名称

jaOrganizationalUnit (jaou)

組織内所属名称（日本語）

eduPersonPrincipalName (eppn)

フェデレーション内の共通識別子

eduPersonTargetedID

フェデレーション内の仮名識別子

eduPersonAffiliation

職種

eduPersonScopedAffiliation

職種（@scopeつき）

eduPersonEntitlement

資格

SurName (sn)

氏名（姓）サービスC (必須項目なし)

jaSurName (jasn)

氏名（姓）（日本語）GivenName

氏名（名）eduPersonEntitlement
eduPersonAffiliation

jaGivenName

氏名（名）（日本語）displayName

氏名（表示名）jaDisplayName

氏名（表示名）（日本語）mailメールアドレス

gakuninScopedPersonalUniqueCode

学生・職員番号 （@scopeつき）

6

サービスA (1項目必須)
eduPersonPrincipalName(必須)

サービスB(1項目必須)eduPersonAffiliation (必須)
eduPersonTargetedID

必要最低限のみを送出(参考) https://meatwiki.nii.ac.jp/
confluence/x/1oS5

SINET&学認説明会-LoA1認定プログラム

米国連邦政府内のサービス（SP）を、外部の認証システム（IdP）に接続する場合には、SP側がIdPに適切な保証レベル（LoA）を要求



かつ、要求された属性のみを送出することの保証を要求(Privacy Impact Assessment (PIA), E-Government Act of2002)

PubMed（日本を含む世界約80カ国で発行される生物医学系文献の検索サイト）など、米国国立衛生研究所（NIH）が提供する95のサービスの要求はLevel 1（最低）

学認は、学認のIdPにLevel 1を発行できるTrust Framework Providerに





7

米OIX (Open Identity eXchange、非営利組織)のメンバー
SINET&学認説明会-LoA1認定プログラム

OMB M-04-04 E-Authentication Guidance for Federal Agencies (2003)
NIST SP800-63 Electronic Authentication Guideline (2006発行, 2011, 2013改訂)
ITU-T X.1254 Entity Authentication Assurance Framework (2012-09承認)
ISO/IEC 29115:2013 Entity authentication assurance framework
世界標準へ









2013-04-01日付で標準化

Level1 – Low

Description
Little or no confidence in the asserted identity
身元確認不要、仮名（ユーザの同一性保証）、有効期限なし
例：whitehouse.govのWebサイトでのオンラインディスカッションに参加

2 – Medium

Some confidence in the asserted identity
身元識別（身分証明書）、単一要素認証、失効処理、平文PW保持×
例：社会保障Webサイトを通じて自身の住所記録を変更

3 – High

High confidence in the asserted identity
多要素認証（ソフトトークン可）
例：特許弁理士が特許商標局に対し、機密の特許情報を電子的に提出

4 – Very highVery high confidence in the asserted identity
対面による発行、ハードウェアトークン、認証後の暗号化の強化
例：法執行官が、犯罪歴が格納されている法執行データベースにアクセス

8

OpenID 2.0はLoA-1まで、SAML/OpenID ConnectはLoA-4まで対応
SINET&学認説明会-LoA1認定プログラム 利用者の同一性、身元確認の確からしさID/パスワード等を確実に本人に渡しているか 属性情報の確からしさ

身分の変更や退職・卒業などへの対応

 認証メカニズムの強度


盗聴、リプレイ、辞書攻撃などに対する耐性

 アサーションメカニズムの強度

9IdPの成りすまし等に対する耐性
SINET&学認説明会-LoA1認定プログラム

 米国FICAM信頼フレームワークにおけるLoA-1に準拠したIdP評価


LoA-1なので、アカウント発行プロセスがポイント

 2012年7月4日より学認にて評価開始

申請ベース（無償） 毎年更新 OIX認定評価人：佐藤周行准教授（東京大学、NII客員）

10

SINET&学認説明会-LoA1認定プログラム

国立情報学研究所 平成24年7月17日付報道発表より:http://www.nii.ac.jp/news/2012/0717/

契約（個別）
オンラインID
発行サイト
(IdP)

利用者

GooglePayPalEquifax
VeriSign
Verizonなど
オンラインID
発行サイト
(IdP)

認定

学認参加
大学等

認証
11

従来の個別交渉モデル

ポリシーメーカー

契約

オンラインID
受入サイト(RP)

認証・データ連携

信頼フレームワークモデル

US FICAM（政府）

信頼フレームワーク提供者
オンラインID
(TFP)
契約
受入サイト
(RP)
OIXなど（民間）
認定
NIH（国立衛生研究所）
NLM（国立医学図書館）
評価人
LOC（米国議会図書館）
評価人など

利用者

認証・データ連携

サービス
SINET&学認説明会-LoA1認定プログラム 2013/8/1付
2012/10頃：申請の相談⇒プレ審査をやってみることに2012/11頃：学内文書の開示
2012/12頃：ヒアリング

2013/1頃：不足文書の作成
工数：計30時間・人
2013/1末：正式に申請（英語）

最初の事例として、申請の進め方をOIXと協議
2013/7頃：OIXに最終評価レポート提出
12

SINET&学認説明会-LoA1認定プログラム 山形大学


13

7番目

SINET&学認説明会-LoA1認定プログラム

 InCommon
1,2 Kantara

1,2,non-PKI 3

 OIX


1

 Safe/BioPharma

1,2,non-PKI 3

 FPKI PA144
SINET&学認説明会-LoA1認定プログラム

InCommonによる認定

15

SINET&学認説明会-LoA1認定プログラム

認定の流れ大学等から学認に申請
学認にて保証レベルを評価

1.
2.


3.



学認定期アンケート、公開情報、規定類の提出、面接など

学認よりOIXへ申請

申請先

oix-loa1@nii.ac.jp
 最初のコンタクト時は、書類の提出等は不要
 相談窓口もここ

学認の「トラスト作業部会」が作業をします 作業の結果は「学認指定OIX LoA1指定Assessor」がOIXに報告します OIXは理事会の決定としてLoA1を認定します

16

SINET&学認説明会-LoA1認定プログラム 以下のことが満たされているか事前チェックしてください

学認の運用フェデレーションに参加し、「安定」してIdPを運用していること
 学認の各種規程を遵守している ある程度の規模で、ある程度以上の期間、問題なく運用が継続している


毎年行われる「学認アンケート」に誠実に回答していること
 アンケートの回答もチェック対象です 回答例の丸写し、運用レベルが判断できないような短すぎる回答等

は審査の時にチェックされるでしょう

17

SINET&学認説明会-LoA1認定プログラム

 Governanceにおいて、規程類が死蔵されていないか？
 現場権力を抑える規程がeffectiveか？
 Privacyにおいて、独立行政法人等の場合は法によってOpt-Inが強制されているが、それ以外の場合は学内での規程の整備等が必要
 uApprove等を導入しましょう Technicalにおいて、


NIST SP800-63には一度目を通しておくべき

基本は上記文書のこの文章に集約される

18

2006年版はIPAの和訳がある。2011年版、2013年版の和訳はまだ。
the authentication mechanism provides some assurance thatthe same claimant is accessing the protected transaction ordata
SINET&学認説明会-LoA1認定プログラム



大学のIdP運用はLoA-1を十分満たしているはず

学認システム運用基準では、アカウント廃止等も規定

米国認証フェデレーションInCommonにおける認定

ブロンズ：LoA-1相当
シルバー：LoA-2相当






国内でより高度な保証レベルを要求するサービス例


National Student Clearinghouse for financial aid
CILogon access to CI services such as Open Science Grid.
Research Virtual Organizations such as LIGO.
Federal grant submission programs.
Department of Education.

e-Rad?
HPCI?
学割サービス?

今後のサービス拡大には、LoA-1では不足、かといってLoA-2は少し過大

19

LoA-1.5? LoA-1.9?
SINET&学認説明会-LoA1認定プログラム

http://www.incommon.org/docs/iamonline/20111206_IAM_Online.pdf
20

SINET&学認説明会-LoA1認定プログラム

比較的リスクの低いもの
履修登録

リスクの高いもの証明書交付

学生サービス
施設利用予約

教育研究

出席確認

単位互換

成績管理

時間管理

掲示板

財務会計

人事給与

施設利用予約

電子申請

決裁・稟議

DBアクセス

研究者総覧
教職員業務

福利厚生

健康診断

検診履歴

ポイントサービス

電子マネー

図書館入館
図書館サービス21

図書貸出

電子ジャーナルSINET&学認説明会-LoA1認定プログラム

LoA2要求の場合
ICカード認証のみ使い分け

LoA 2
LoA 1

LoA 2認証要求
LoA 2
IdP
複数レベル認証対応

LoA1要求の場合
パスワード認証も可（ICカード認証してもOK）
LoA 1
パスワード認証
22

LoA 2
SP

LoA 2認証要求
LoA 1認証要求
LoA 1
IdP

LoA 1
SP
LoA 1認証要求

SINET&学認説明会-LoA1認定プログラム

 例えば、ICカード認証とパスワード認証の両方をサポートすることで、ユーザの利用スタイルに柔軟に対応可能
LoA 1サービスの利用時は、どちらの認証方式を選択してもOK

どんな端末からでも使いやすくLoA 1（パスワード）認証後に、LoA 2サービスにアクセスすると、ICカード認証が要求される（昇格）ICカードを抜くと、LoA 2サービスからログアウト（降格）LoA 1サービスは引き続き利用可能
 SSOの利便性を保つ

その他
23

LoA 2サービスでも、学内からであればLoA 1（パスワード）でもOK、等
SINET&学認説明会-LoA1認定プログラム



世界最先端 IT 国家創造宣言 「工程表 」
 平成25年6月
 高度情報通信ネットワーク社会推進戦略本部（IT総合戦略本部）

経産省｜本人確認をした属性情報を用いた社会基盤構築に関する検討委員会・調査研究など

総務省｜パーソナルデータの利用・流通に関する研究会など

24

SINET&学認説明会-LoA1認定プログラム

国民ID
紐行付政
けサ
等ーのビたス
めのに利用便い性るを「符向号上さ」とせ仕る
組たみめの、

25

マイナンバー

盗一
用人・に漏一洩つののな共い通よ番う号に
厳
密に
管理民間IDとの連携の可能性?

出典：マイナンバー法案の概要とシステムについて（社会情報流通基盤研究センター）
SINET&学認説明会-LoA1認定プログラム
Source: http://asist.ssr.titech.ac.jp/wp-content/uploads/2abe.pdf

 IdPのLoA認定の普及

LoA 1はベースラインなので、難しい資格ではない（というか簡単） しっかり運用されていれば、基本的に新たな投資は不要
 組織として正式に安定して運用されていることを示すことが重要

組織の中でIdP管理者や基盤センターがきっちりやっているという意味も

LoA 2も大学にとってそんなに難しい話ではない


LoA 1+（LoA 1.5?）でも十分かもしれない

 LoA 2（LoA 1+)に準拠したサービスの展開
日本国内における実用的なID連携の先行事例として

 高度な認証技術への柔軟な対応のために
26

様々な認証方式の任意の組み合わせに対応可能な、汎用認証インタフェースの実現
SINET&学認説明会-LoA1認定プログラム

27

SINET&学認説明会-LoA1認定プログラム