コンテンツビジネスのキーテクノロジー

オンラインコンテンツ本格化時代に必須の認証方式

ブロードバンドコンテンツを利用するためには､ ユーザーID と パスワード は欠かせない。しかしあちこちのサイトでこれらを利用していると､手元にユーザーIDとパスワードがどんどん増えていき､しまいには収拾がつかなくなっている読者もいるだろう。またあるサイトのサービスを利用するためにIDを発行してもらうには､名前や住所などを入力し､さらに別のサイトのサービスを利用するときに同じ情報を……と何度も同じ情報を入力するのも面倒だ。
このような問題が発生するのは､あたりまえのことだがユーザーIDがサービスサイトの数だけあることに起因する。ブロードバンドビジネスを普及させるためにはこのような煩雑さを少しでも軽減させる必要があるだろう。その方法の1つが今回取り上げる シングルサインオン だ。

SSOはおもに3タイプに分類される

text：加畑健志

側から見たメリットは以下のようになる。
11つのユーザーIDで複数のサイトやサービスを利用できる。

一般的にシングルサインオン（以下SSO）
は1つのユーザーIDとパスワードで複数のサイトやサービスを利用できるようにす

2何度も同じ情報を入力する必要がなつの方法で実現されている。その3つとは1代行認証サーバーを使う（図1）、2認証サーバー同士を連携させる（図 2）、3メタ認証サーバーを使う（図3）というものだ。

い。
そしてサイト側のメリットは以下のように代行認証サーバーを使う方式は各サーSSOる仕掛けのことだとされている。実はそれなるだろう。

ビスのユーザーIDとパスワードを代行認だけではなく､名前や住所など共通に利用1ユーザーがパスワードやユーザーIDを証サーバーに格納しておき､サービスを利する可能性のある情報を複数のサイトで忘れないため､サポートコストが低減で用する際はその代行認証サーバー経由できる。

アクセスするというものだ。

利用できるようにすることもSSOの目的に含まれる。またSSOはウェブサイトに特有2共通情報の入力が不要､または削減で認証サーバー同士を連携させる方式の技術ではない。電子メールやほかのネきるため、ほかのサイトのユーザーを自は､ある認証サーバーが自分で判断できットワークサービスも適用範囲だが､今回分のサイトへ誘導しやすくなる。

ないユーザーIDとパスワードを受け取るはウェブサイトでユーザーを識別するといつまりサイトやサービスをSSO に対応と､それを認証できる別の認証サーバーにさせることでユーザーの利便性を向上さ送り､自分の代わりに認証してもらう方法

SSOを使った場合の具体的なメリットとせ､同時にビジネスを効率化できるのだ。

だ 。 RADIUS（ Lucent Technologies社

はどのようなものなのだろうか。ユーザー

このような特徴を持つSSOはおもに3によって開発されたダイアルアップ接続でう場合に絞って話をすすめる。

196 +++ iNTERNET magazine 2003.08 +++インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

のユーザー認証方式）とウィンドウズサー

対するサン・マイクロシステムズは「リバノキア､ゼネラルモーターズといった企業バーを組み合わせた認証はこの方法の一ティアライアンス」というSSOの方式で対や米国のいくつかの公共機関などを加え､例だといえる。

抗している。
「リバティアライアンス」は認160社を超える規模に成長している。この最後のメタ認証サーバーとは各サイトが証サーバー同士を連携させるアプローチ

団体のおもな活動は規格立案にあったこ個別にユーザーIDとパスワードなどを管を採用している。そして規格を公開してとから､具体的な製品の登場は少なかっ理するのではなく、メタ認証サーバーにユ「リバティアライアンスプロジェクト」
といた。しかし2003年4月にHPが対応製品をーザーID発行作業などを依頼し、認証もう団体も結成している。この団体は現在､リリースするなど､ここにきてベンダーの市

そのメタ認証サーバーに代行してもらうとソニー､NTTドコモ､AOLタイムワーナー､場参入が活発化し始めている。

いうものだ。もちろん各サイトは自社の顧客である個々のユーザーIDは管理してい■図1 代行認証サーバーを使うタイプ

るが､メタ認証サーバー内のすべてのデーサービスプロバイダー

タを見ることはできないようになっている。

代行認証サーバー

メタ認証を使う「パスポート」とサーバーを連携させる「リバティ」
SSOが価値を発揮するためには1つのコンテンツプロバイダー
User/dej2392
qaea/dej003
User/dej2392
qaea/dej003
User/dej2392
qaea/dej003
User/dej2392
qaea/dej003

User/dej2392

ユーザーIDでどのくらいの数のサイトやサービスを利用できるかにかかっているといっても過言ではない。コンテンツビジネス

各サービスサイトのIDとパスワードを保存
ユーザー

コンテンツプロバイダーを含むインターネット上のビジネスを発展させるためにSSOが重要であることは業■図2 認証サーバー同士が連携するタイプ界も認識している。言い換えるとSSOのサイトB認証サーバースタンダードを握るということはコンテンツサイトAビジネス市場に対して非常に大きな影響

3結果を受け取りアクセスを許可する力を及ぼすといってもいい。そしてこのよ
1 サイトBにアクセスしたいがサイトCのアカウントしかないうな背景に対し､マイクロソフトとサン・マイクロシステムズはそれぞれ異なったアプ

2サイトCに認証を依頼

サイトC認証サーバー

User/dej2392

ローチで覇権を争っている。
マイクロソフトの「パスポート」というサユーザー
DBービスは同社が運用する､2億人を超えるメタ認証サーバーを使うことでSSOを実User/dej2392

ユーザー現しようとしている。さらにSSO技術のウィンドウズOSへの標準搭載や､「パスポート」対応のSSOサイトを構築するための■図3 メタ認証サーバーを使うタイプ
メタ認証サーバー

サイトA認証サーバー

SDKもリリースするなど活発な動きを見せている。また「パスポート」が閉鎖的であ

wdea/ko315
saea/ire493
deaoa/cmf488
qaea/dej003

るという批判を受けたことから､後述の「リバティアライアンス」との接続も可能にし､ユーザーDB

さらに「TrustBridge」（他社システムからアクセスしてきたユーザーの身元をSSOで認証する技術。自社のリソースを特定の1サイトBにアクセスするためにメタ認証サーバーへアクセス

saca

2 qaeaということを証 明 する一時キーが返る

3一時キーを使ってサイトBにアクセス企業に公開する際に効果を発揮する）のリリースで企業同士のSSO利用も視野に入れている。

ユーザーID：qaea

5アクセスを許可する

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

サイトB認証サーバー

4キーからユユーザーーザーIDを取DBり出し本 人をqaea
確認+++ iNTERNET magazine 2003.08 +++197

「パスポート」は巨大データベースアクセスに必要なプロトコルまた「パスポート」のアカウント作成自体を識別できることになる。
実際はこの PUIDとともに、そのサイトにも費用はかからない。これに対し、サーが必要とするプロファイルを加えたcookie

ビスサイトを「パスポート」対応にするためマイクロソフトの「パスポート」は巨大なと認証チケット情報の入ったcookieが使には､サイト自体の認証システムを改造しユーザーデータベースへのアクセス方法われる。これらのcookieは「パスポート」なければならない。そのためのSDKはマを定義したプロトコル､つまり 約束事 だ

サーバーによって対象サービスサイト用暗イクロソフトから無償でダウンロードできということができる。

号化キーで暗号化されている。そのためる。ただし登録が必要なのと､ベリサイン

このcookieを第三者が入手しても使うこなどの公的デジタル証明書も必要になるとはできない。

ため気軽に試すというわけにはいかない

その 約束事 をわかりやすく説明する
ために､ユーザーのあるサイトへの登録のだろう。

手順を図4に示す。ポイントはPUIDと呼住所や名前などのプロファイルは､ID作ばれるユニークなIDを使うということだ。

成時に入力する必要はない。これらはサさらに実際に運用するためにはサイトのこのPUIDはユーザーが「パスポート」上ービスサイトを利用する際に必要になった存在証明用に18万円と利用料1,200万円にアカウントを作成したときに生成され､ときに入力が要求される。またPUIDにはを毎年マイクロソフトに支払わなくてはな

各サービスサイトはこの PUIDを使うことプロファイルや資格情報が一切含まれてらない。非常に高いように思えるが､「パでユーザーの認証を行う。言い換えるといないので､PUIDをキーにそれらの情報スポート」が管理する2億人以上のユーザサービスサイトは自分のサイトにアクセスにアクセスすることはできない。

ーに対して一元的なサービスを提供できしてきたユーザーが持つPUID（の入った「パスポート」対応のサイトを利用するること､さらにマイクロソフトもプロモーシcookie）を読み取ることで､アクセスしてき際にユーザー側に求められるのはcookie､ョンに協力することを考えれば理解できるているのが該当ユーザーであるということ

SSL､JavaScriptが使えるブラウザーのみ。

範囲といえるだろう。

■図4「パスポート」の登録認証プロセス
サイトB認証サーバー

サイトC認証サーバー

インターネット
サイトA認証サーバー

4
2

通知する

1
5
通知しない

パスポート
登録サイト

3
ユーザー

198 +++ iNTERNET magazine 2003.08 +++1この例ではユーザーはサイト Aを参照し、［サインイン］ボタンをクリックする。
2サイトAはユーザーをパスポートの登録サイトに誘導する。ここでユーザーはサインイン先（ここではサイトA）以外の パスポート 対応サイト（サイトB、Cなど）に自分のプロファイルなどの情報を通知するかどうかを選択できる。
3ユーザーが使用条件を読んで同意した場合、自分の情報が書き込まれたフォームをパスポートの登録サイトに送信する。
4その後、ユーザーは暗号化された認証チケ
ットとPUIDを含むプロファイル情報が添付された状態でサイト A に再度アクセスすることになる。
5サイト A は暗号化された認証チケットとプロファイル情報を復号化し、登録プロセスを続行。サイトへのアクセスを許可する。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

コンテンツビジネスのキーテクノロジー

認証サーバーの連携を定義する「リバティアライアンス」

ーザーはこれらのフェデレーション（認証属性情報を交換するための機能などの策グループ）のどれに登録するかを選ぶとい定と実装が行われることになっている。

うことになる。認証グループ同士の結びユーザーが「リバティアライアンス」を利サン・マイクロシステムズが提唱していつきをリンクと呼ぶ。図5にもあるように、用するための条件は「パスポート」と同じ

る「リバティアライアンス」は認証サーバー複数のリンク（経路）でコンテンツなどのく通常のウェブブラウザーがあればいい。

（IDプロバイダーと呼んでいる）同士が連利用が可能な場合、ユーザーが各フェデまた「リバティアライアンス」に対応したサ携する方法を定義する仕様と言える。こレーションのどのリンクを有効にするかをイトを作成するためには､この規格に準拠のリバティアライアンス仕様に加え､認証自ら決めることができる。それぞれの認証した製品を購入し､サービスサイトの認証情報などを伝達するフレームワークSAML

サーバーはクライアント／サーバー型認システムと組み合わせることになる。ある（Security Assertion Markup Language）

証方式KerberosとSAMLを使って認証情

いは Liberty Version1.1や SAMLの仕様仕様を使うことで企業間でのSSOにも対報や個人情報をやり取りする。このやりが公開されているため自力で行うことも可応している。

取りの際にどの個人情報を渡していいか能だが､SDK などが用意されているわけ「リバティアライアンス」のポイントはフ

どうかは前述のリンクを行う際に決めるではないので、1から作るのは簡単というわけではない。

ェデレーションと呼ばれる「信頼の輪」だことになるが､それはユーザーが定めたセ（図 5）。これは 1 つの認証サーバーが複キュリティーやプライバシーポリシーがベ数のサービスサイトを束ね、さらに複数のースになる。

ただ対応製品の動作環境がJavaであるものが多いため､適用できるサイトの制

認証サーバーが1つの認証グループを構

今後は図6に示すような世界を実現す成し、あたかも1つの認証サービスとしてるために、アイデンティティーサービスの動作するイメージのことを指している。ユ

サイト情報を提供する機能やユーザーの限は「パスポート」に比べると広いといえるだろう。

■図5「リバティーアライアンス」の進めるフェデレーション
サービスサイト認証グループB

2グループＣのサイトにアクセスするIDを要求

認証グループA

サービスサイト5アクセス許可1グループCのサイトへのアクセス許可を申請

6アクセス許可
グループAはグループBとパートナーシップを結んでいる。

認証サーバー
グループAはグループCとパートナーシップを結んでいない。

認証グループC

認証サーバー
3グループＣのサイトにアクセスするIDを要求

サービスサイト

7アクセス

ユーザーはグループCのサービスサイトにアクセスしたいが、グループAのアカウントしか持っていない

グループ BはグループCとパートナーシップを結んでいる。

4アクセス許可※複数の認証サーバーを経由してサービスサイトにリンクできる
認証サーバー■図6 フェデレーション型モデルへの進化
中央集権型モデル

フェデレーション型モデル

IDP

SP
SPSP

SPSP

SPSP

アイデンティティ情報の一極集中管理

SPIDP
SP

IDP：アイデンティティプロバイダー
SP：サービスプロバイダー

SPSP

IDP

SP

SP

個々に管理されたアイデンティティ情報の連携

ユーザーIDを管理するアイデンティティプロバイダーが、それぞれ連携することで、ユーザーが多くのサイトを利用できるような仕組みを作ろうとしている。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.08 +++199

現実にコンテンツプロバイダーがSSO

ケット分析､為替情報など契約したサービを利用しようとする場合の参考として､既スからリアルタイムに情報を受け取ること

存のSSOサービスと､すでにそれを利用ができる。

したサイトをいくつか紹介する。

アダルトサイトの年齢認証でも必要とされるSSO
日本ではあまり知られていないシステム

リバティアライアンスに対応したサイトを構築するための製品群

マイクロソフトの「パスポート」を利用できるサイト

だ が ､米 国 では AVS（ Age Verification
Service）というある種のSSOサービスがある。Age Verificationという名前のとお

オムニドメインが提供する総合型販売サリバティアライアンスのメンバーである

り､基本的には成人向けコンテンツを提供

ノベルが提供しているのはSSO対応を可するサイト向けのサービスになる。このサイトサービスを利用すると「パスポート」対

能 に するウェブセ キュリティーソフト

ービスを利用したいサイトはAVSをと契約応サイトの構築が簡単に行える。そのサ「iChain」だ。
「iChain」は「iChain」やリバする。各サイトはユーザーIDとパスワードービスを利用したサイトの1つが自転車のティアライアンスに対応したサーバーと連は管理しない。つまりAVSがアクセス制製作を手がけるnh-guild.comだ。このサ携してSSOを実現できる。大きなもので限とアカウント管理を提供することでSSO

イトでは商品の購入やメールマガジンの購は世界最大規模の航空会社連合であるスを実現しているのだ。そのユーザーIDと読などに「パスポート」を使用する。通常

ターアライアンスの社内システムにSSO

パスワードはAVSに加盟しているサイト全であれば「パスポート」対応サイトの構築を実現するコンポーネントとして利用され部で共通しているため､1 つのアカウントにはコストも時間もかかるが､このようなている。

ですべてを利用することができるというわ

また HP は同社のセキュリティーソフト

サービスを利用することで迅速に自社のけだ。

サービスを「パスポート」対応にできるだ

ウェア「hp IceWall SSO」でSSOを実現

マイクロソフトの「パスポート」と似ていろう。また東京三菱クイックアラートも「パしている。この製品を使ったサービスの1るように思える。しかし「パスポート」の場スポート」に対応した新サービスだ。サーつにNTTデータ保険会社共同ゲートウェ

合､ユーザーの身元とサイトを保証し､実際ビス自体はマイクロソフトのMessengerクイがあるのアクセス制御は各サイトが行う点が大ライアントを利用した情報のポップアップ

社に対して代理店が1つのアカウントでア表示サービス「.NET Alert」サービスを使クセスできるようなソリューションが実現うものだが、ユーザーは自分の「パスポーされている。

。ここでは､複数の保険会きく異なる。

http://www.jpn.hp.com/biz/casebank/cases/ntt_data/ト」
を使って､認証作業を行いながら､マー■図7「hp IceWall SSO 」を利用した保険会社共同ゲートウェイ「パスポート」を利用した事例
オムニドメイン社の提供する総合型販売サイ
トサービスを利用しているnh-guild.com。
「パスポート」を低価格で導入する手段だ。

生命保険会社
代理店

http://www.cahincast.com/
東京三菱クイックアラートはMSN メッセンジャ
ーに外国為替相場情報や株式に関する情報を送信するサービスで、.NETAlertを利用する。リアルタ
イムでさまざまな経済情報を得ることが可能。

https://alerts.btmportal.com/BTMAlerts/default1.aspx/

代理店

リバティアライアンスに準拠した製品

ゲートウェイゲートウェイゲートウェイゲートウェイゲートウェイ

ノベルが提供するウェブセキュリティーソフ
ト「iChain」。スターアライアンスなどですでに使用されている。

ゲートウェイゲートウェイゲートウェイ
個人情報などゲートウェイ
代理店

ASP事業者
ゲートウェイ

HPは同社のセキュリティーソフトウェア「hpIceWall SSO」
。NTTデータ保険会社共同
ゲートウェイなどに利用されいる。

200 +++ iNTERNET magazine 2003.08 +++

損害保険会社

接続認証
hp IceWall SSO

http://www.novell.co.jp/products/ichain/

http://www.jpn.hp.com/hpc/sp/icewall/

個人情報などゲートウェイゲートウェイ

共同ゲートウェイで発行するSSO対応のID／パスワードにより複数の代理店、保険会社同士のシステムを接続する。

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

コンテンツビジネスのキーテクノロジー

将来SSOの普及を妨げかねないポイントはここだ
将来SSOの普及を妨げかねないポイントはここだ複数の 個人情報 を選択できないとく意味がない。図 8 のように一人が複数のレームは小さいと考えられる。つまり障害SSOの普及速度は鈍る人格をもちつつ SSO が利用できるように原因が SSO 自体であるという認識が広くなってこそ、SSO に乗り換えることができ伝わる＝私だけではない＝サービスサイトるといえるだろう。

は悪くないということだ。ところが分散型

先日クレジットカードを 1 枚だけなくしてしまった。新しいカードと古いカードをの場合､被害が小さい＝サービスサイトに問間違えて捨ててしまったようだ。カード会「一極集中」vs「分散」。

題があるのではないか？ということになる社に電話をして再発行の手続きを行ったあどちらが安全か判断できないのだ。ところがこれにこりてコンテンツプとで､そのカードで登録している各種サービロバイダーなどが別のSSOに乗り換えよう

スの変更手続きをしようとしてちょっと困SSO を自社のビジネスに利用する場合と思っても､ユーザーIDをすべて移行しなってしまった。新しいカードと古いカードを考えてみる。ビジネスを行う際に信頼性ければならないという問題に直面する。こではクレジットカード番号が違うため､新しは非常に重要なポイントだ。ユーザーが自のユーザーIDはそれぞれの認証サーバーがいカードが来て､番号を確認しないと変更手社のサービスを利用しようとしてもSSOが発行しているので、認証サーバーが変われ続きができなかったのだ。

ダウンしているとどうしようもない。SSO

ば､ユーザーIDも変わるということになり､もしSSOが実現していたらこの情報（カの場合､そのリスクは複数の業者に渡るこ現実的には不可能ということだ。つまりそードの番号の変更）を各サイトに通知しなくとになる。認証サーバー同士を連携させるのSSOに囲い込まれてしまうということにても自動的にすべて変更してくれて便利なような分散型の SSO であれば局地的な被なるのだ。ほかにも､同じSSOを使っていのかもしれない。ただし､筆者はサービスサ害で済むかもしれないが､別の問題がそこる別の会社がなんらかの情報漏洩を犯したイトによってクレジットカードを使い分けに潜んでいる。その理由とはあなたのサーとしてもSSOを替えることができないのはている。現状のどのSSOソリューションをビスサイトが悪者になる可能性があるとい致命的になりうる。企業のSSO乗り換えが見てもユーザーが自分の情報（住所やプロうことだ。

難しいという点も普及を妨げる大きなポイフィール）を各サイトで別々に設定できるよ

逆説的なるが､SSOの停止による被害がントになるだろう。

広ければ広いほど､各サービスサイトへのクうにはなっていない。
セキュリティーやビジネス状の理由によ■図8り、サービスやサイトごとに登録する住所SSO グループ2やカード番号､メールアドレスなどを変えるというパターンはよくある。つまりネット

SSO グループ1

サービスサイト上では複数の人格（のようなもの）が存在しているということになる。また現実社会であっても買い物の種類や場所によってクレジットカードを使い分けるという場合もある。ところが現状のSSOはサービスサイトの種類によってどの情報をそこで使うべきかを自動的に判断してくれるほど洗練されてはいない。
SSOを使うことでコンテンツサービスやオンラインショッピングが便利に使えるようになることは間違いない。しかしSSOの導入で、ユーザーの選択肢がせばまったり、より複雑な手順を要求されるのではまった

ひとりが複数の人格を持ち、それぞれがSSOに対応することが理想

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D+++ iNTERNET magazine 2003.08 +++201

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.