FIDOアライアンスに行ってきた
12/8(金)に虎ノ門ヒルズで開催されたFIDOアライアンスに行ってきたので
心に残ったことをメモ
会場の様子
Getting started with today's #FIDOSeminar - standing room only in Tokyo pic.twitter.com/pq3hwoYLX9
— The FIDO Alliance (@FIDOAlliance) 2017年12月8日
セッションによっては立ち見もいた模様
セキュリティの一分野であるID管理、かつ「認証」だけに特化したFIDOの話、正直そんなに人いないんじゃないかと思ってたけど
意外と(失礼)注目されていて会場内も熱気を感じました
ちなみに僕はこういうのセミナー、早めに会場入りして前のほうでかつ一番はじっこを
キープする派です。この写真には残念ながら映ってないけど(-_-;)
そして隣に自分が一方的にTwitterフォローしているID界の有名人が座るという・・
ちょっとドキドキしてました(笑
そもそもFIDOとは
アイデンティティ管理のレイヤーはこんな感じに分類されるのですが
この「認証」のレイヤーだけに特化したプロトコルがFIDOです。
OAuthやOpenIDConnectはSSOやフェデレーションのレイヤです。
流れはこの、LINE関水さんの説明がとてもわかりやすかった
FIDOのキモは、ユーザの「認証」はローカルで行うので、ユーザの識別情報がネットワーク上に流れないということです。
そして、「認証」の方式は特に定めていないことです。
FIDOというと生体認証のイメージがありますが、生体だけに限定するものではないです。
FIDO認証と公開鍵暗号
ヤフー株式会社 Yahoo!Japan研究所 上席研究員 五味秀仁 さんの公開資料より
http://www.jnsa.org/seminar/pki-day/2017/data/170419_gomi.pdf
生体認証自体は昔からあるものだけど、ベンダー独自仕様だったりして相互運用性がなかった。そこを解決するのがFIDOで、FIDO標準メッセージに対応していれば、FIDO認証器として動作でき、認証を部品として切り離すことができる。
そしてそのFIDO認証器の認定プログラムがこれからできるそうです。
逆にいままではどういう基準で認定されてたのがよくわかりませんでしたが・・
FIDOに対応している認証器だと
Windows10のWindowsHelloが有名だと思うんですが
FIDOアライアンスJAPAN座長森山さんがいらっしゃるNTTドコモが着々と対応機種を増やしていたり
今年ソフトバンクがFIDOアライアンスに加入したそうで
今後スマホのコンシューマ向けアプリでFIDOの活用が進んでいきそうですね。
そして、FIDOが今注目されている背景に
銀行のオープンAPI化があるというお話がありました。
欧州ではこんな3つの規制があって
#fidoseminar PSD2, GDPR, eIDAS pic.twitter.com/zpCoT6cd1j
— Tatsuo Kudo (@tkudos) 2017年12月8日
ざっくりいうとFintech進めるにあたり各銀行は強固なユーザ認証やプライバシーに配慮したAPIを公開する義務が発生します、と(理解間違ってたらすいません(-_-;)
で、認証する際に単にリダイレクトするだけではユーザは
たくさんトークンもつことになってしまうので
Token いっぱい持つことになりかねない #fidoseminar pic.twitter.com/8jPZjxcTzQ
— Tatsuo Kudo (@tkudos) 2017年12月8日
認証の標準化がいるよね→FIDOが理想的だよね ということのよう
金融APIの標準仕様を検討しているWG(FAPI WG)があり
セキュリティはOAuth、OpenIDConnect を使っていきましょう、
その全体フレームワーク(OAuthプロファイル)の中で、認証部分はFIDOが最適
ですね、ということです。
この描きかたはわかりやすい #FIDOSeminar pic.twitter.com/twdc4nQCcd
— Tatsuo Kudo (@tkudos) 2017年12月8日
この絵の中で、青い色の部分「Login(UserAuthentication)」とある部分がFIDOで実装する部分です。
ということで、とても内容の濃いセミナーでした。
来年も行かせてもらえるといいなー('ω')