デバイスWebコンソーシアム 第４回技術WG

指紋認証と「FIDO」について

2016年6月29日
株式会社 ディー・ディー・エス
事業支援本部 FIDO事業推進部

井上 幸三 inoue_kozo@dds.co.jp〒103-0028
東京都中央区八重洲1-8-5 新槇町ビル別館第二弊社ご紹介・『誰でも使える』『より使いやすい』指紋認証システムを個人情報の管理するユーザー向けに提供
・「ICカード（ID）」＋「指紋認証（パスワード）」によるアクセスコントロールを提供

・2014年4月、FIDOアライアンスに加入
・2014年10月、FIDO東京セミナー事務局
・NokNokLabs社販売代理店(https://byebye.pw/)

Copyright（C） DDS, Inc. All rights reserved.

2

「不正アクセス」の原因は、パスワード（引用元）

Copyright（C） DDS, Inc. All rights reserved.

http://www.zdnet.com/article/lastpass-password-security-site-hacked/
http://www.nenkin.go.jp/oshirase/taisetu/2015/201506/20150601.html

3

「パスワード」の問題
1

2

サーバーから認証情報の漏洩の可能性

パスワードを、知らないアプリやWebサイトへ入力（フィッシング）

4
モバイルでのパスワ
ード入力が不便3
パスワードの数が多すぎて、覚えられない。結果、「使いまわし」
リスクの増大や、利用の中止（参考：FIDO UAFチュートリアルを元に邦訳）
Copyright（C） DDS, Inc. All rights reserved.

4従来の認証システムとFIDOとの関係性
・従来の「生体認証」とFIDOとは、何が違うのでしょうか。
・特定の製品の機能ではなく、オープンスタンダードの規格→ 生体情報の管理を「デバイスから出さない」
パスワードベースの独自仕様

従来の認証製品（ICカード認証＋生体認証）

オープンスタンダードの「認証」の標準化（FIDO1.0）

モバイルX
生体認証

生体認証（指紋認証など）
OTP

FIDO UAF

ASM

AD連携システム毎に個別の認証
Copyright（C） DDS, Inc. All rights reserved.

Web対応

Secure HWWindows連携

シンクラ対応FIDO
2.0

FIDO Server
AppSDK

Mobileアプリ対応

プラットフォーム対応

FIDO U2FWeb対応

認証
サービス

U2F Server
HW Token

2段階認証
5２つのFIDOプロトコル
１． UAF standards：パスワードレス・エクスペリエンス
オンラインサービスの認証要求決済などの処理を実行

デバイスでのローカル認証

指紋などでユーザーを認証認証成功！

決済などの処理を完了！

２． U2F standards：セカンド・ファクタ・エクスペリエンス
オンラインサービスの認証要求

デバイスでのローカル認証

認証の成功！

ログイン＆パスワードを入力

ドングル挿して、ボタンを押す決済などの処理を完了！
（参考：FIDO 1.0 Specリリース資料）

Copyright（C） DDS, Inc. All rights reserved.

6

FIDO （UAF）のサービス実装
2014年4月、PayPal社は、指紋センサー搭載のサムソンGalaxy S5で、オンライン決済サービスを提供。端末に搭載されているFIDO Ready™のソフトウェアを利用。指紋センサーとPayPal社のクラウドサービスとの安全な通信を行っています。2014年7月、アリババ社も、Samsung Galaxy S5を利用した、FIDO仕様のオンライン決済サービスを開始。

（参考： FIDO101資料）
Copyright（C） DDS, Inc. All rights reserved.

7

FIDO （U2F）のサービス実装
2014年10月、Googleは ChromeブラウザでのU2Fサポートを発表。同時に、Yubico社とPlug-Up社は、公開鍵ハードウェアデバイスのFIDO U2Fセキュリティキーを紹介。セキュリティキーを利用して、FIDO U2Fプロトコ
ルベースの強力な認証方式による、高いセキュリティを実現。

● グーグルアカウントの利用ユーザー向けの強力な2段階確認● サービスの拡大が簡単● ウィンドウズやOSX、Linux上で、シームレスに動作する。
● セキュリティキーは、パスワードなどの暗号化する機能を持つ。
● 各アプリケーション毎に、ユニークな公開鍵と秘密鍵のキーペアを作成する。

（参考： FIDO101資料）
Copyright（C） DDS, Inc. All rights reserved.

8

・動画紹介- PayPal（UAF）- Yubico（U2F）（引用元）PayPal https://www.youtube.com/watch?v=c1aYFjHVFA8
Yubico https://www.yubico.com/why-yubico/for-businesses/authentication-solutions/gov-uk-verify-digidentity/

Copyright（C） DDS, Inc. All rights reserved.

9

FIDOボードメンバー
・メンバーは、「ボード」「スポンサー」「アソシエイト」の3種類→ スポンサー以上で、ワーキンググループの参加が可能。
・テクニカルやマーケティングワーキンググループの活動を行っている。

（参考：FIDO アライアンス説明資料より抜粋）
Copyright（C） DDS, Inc. All rights reserved.

10

FIDO101 ：東京セミナー＠東京電機大学（第1回）
・FIDO創設のきっかけ：PayPalサービスへの指紋認証の提案から・家族からの意見で、他のサイトでも使いたい。→ 「スタンダードベース」の認証が必要

Copyright（C） DDS, Inc. All rights reserved.

11パスワードに取って代わる「FIDO認証」
・「Password 」は、「bearer token」（知っているトークン）・・・盗まれる・「user-binding token」（ユーザーに紐づいたトークン）を採用し、使い易さとサービスの信頼性を両立。
→ 初期登録で利用した認証情報が一致しないと、認証しない。（フィッシング防止）（参考：FIDO アライアンス説明資料を元に作成）
Copyright（C） DDS, Inc. All rights reserved.

12パスワード認証の限界“情報漏洩の95%は、顧客のデバイスからクレデンシャル（認証情報）を入手し、ウェブアプリにログイン。”
Verizon DBIR, 2015
“情報漏洩の61%は、クレデンシャルの紛失・盗難が原因。”
Javelin Research, The Consumer Data Insecurity Report.

FIDOのコンセプト・パスワード認証に代わる認証のスタンダードを提唱。
・特定のデバイスに限定しない、標準仕様化を行う。
・「モバイル機器のローカル認証」と「デバイスのサーバ認証」を分離し、サーバ認証にパスワードを利用しない。
→ 中間者攻撃への対応

Copyright（C） DDS, Inc. All rights reserved.

13

FIDO認証のコンセプト
・各ベンダーは、FIDO仕様書にのっとり、「FIDOサーバ」「クライアント」「認証ツール」を作成。認証精度、セキュリティ強度は、仕様に含みません。
・FIDOアライアンスは、各カテゴリの相互通信テストを行い、製品認定を行う。

認証用センサー（ユーザーの結び付け）

モバイルアプリ ＆FIDOクライアント

サーバ ＆FIDOサーバ① ネットワーク認証の標準化（※チャレンジレスポンス方式）② デバイス標準のセンサーを利用（指紋 ・ 顔、眼静脈 ・ 声 etc）

③ セキュア領域（認証用データは、デバイス内部に保管）（※万が一、OSがマルウェアに感染しても、情報が漏洩しないトラストOSに守られる領域。）（参考：NNL社FIDO 説明資料より）

Copyright（C） DDS, Inc. All rights reserved.

14

FIDO認証の効果（参考：NNL社FIDO 説明資料より）
Copyright（C） DDS, Inc. All rights reserved.

15

FIDO採用サービスの拡大（2015年）（参考：FIDO アライアンス説明資料）
Copyright（C） DDS, Inc. All rights reserved.

16

FIDO対応デバイス（OEMs）

Supported iOS Fingerprint Devices（参考：FIDO アライアンス説明資料）
Copyright（C） DDS, Inc. All rights reserved.

17

FIDO対応製品（認証ツール）
・スマートフォンに指紋センサが付いていない場合、何を利用するか。
→カメラやスピーチ（ボイス）を利用した認証ツール
方式

ベンダー

環境

対応ハードウェア

ソフトピン

NokNokLabs社

Android不要

顔＆声センサリー社

Android

フロントカメラ、マイク

眼の静脈

EyeVerify社

Androidフロントカメラ

その他

マルチモード（認定製品一覧）https://fidoalliance.org/certification/fido-certified/■ KDDI手のひら認証がFIDO認定取得

Copyright（C） DDS, Inc. All rights reserved.

18

Web プラットフォームの標準へ（FIDO 2.0）
・FIDOアライアンスより、WebAPIの仕様をW3Cに提供。Web認証標準の仕様策定中。
・仕様化され、各ブラウザの標準機能に搭載されれば、各認定デバイスが利用可能に。

USER

User Device

USER
VERIFICATION

Browser
Platform
Web API（Java Script）

FIDO Server

FIDO
AUTHENTICATION

OSDriver
認証ツール
外部オーセンティケータ
プロトコル

認証ツール（外部）Bluetooth
Wi-Fi
Smart Phone（参考：FIDO アライアンス説明資料を元に作成）
Copyright（C） DDS, Inc. All rights reserved.

19

最後に ： FIDO は、「オーセンティケーション」にフォーカス

SingleSign-On

MODERNAUTHENTICATION

Federation
Authentication

Passwords

StrongRisk-Based

User Management
Physical-to-digitalidentity（参考：FIDO アライアンス説明資料）
Copyright（C） DDS, Inc. All rights reserved.

20

（補足）フローダイアグラム

Copyright（C） DDS, Inc. All rights reserved.

21

FIDO UAF フローダイアグラム（引用元：FIDO Alliance FIDO Overviewより）
Copyright（C） DDS, Inc. All rights reserved.

22

FIDO U2F フローダイアグラム※APDU：application protocol data unit
コマンドやレスポンスといったカードと送受信されるデータ
Copyright（C） DDS, Inc. All rights reserved.

（引用元：FIDO Alliance FIDO Overview_March2014.ppt）23