FIDO U2F

2015年9月8日

PayPal、Microsoft、Google、ドコモが対応を表明しているパスワードレス認証のオープン標準FIDO。

Chromeブラウザに限られるものの、昨年10月にはGoogleの2段階認証サービスが「U2F Security Key」に対応済みだ。

3400円のUSBキーでのお試し例などもあるのでU2F対応のセキュリティトークンを調べてみたところ、記事のYubicoのFIDO U2F SPECIAL SECURITY KEYよりも安い飛天ジャパンのePass FIDO U2F準拠セキュリティキー2,480円でも大丈夫だった。

ちなみにFIDO 1.0仕様には２つのプロトコルがあり

UAFが鍵管理や認証の手順を担っているのに対し、U2Fでは「2要素認証（Two-Factor Authentication）」または「2段階認証（Two-Step Authentication）」の仕組みを提供する。UAFはPKIの公開鍵暗号でデバイスとサービスを対にすることで安全性を担保するが、U2Fは認証要素をさらに追加することで安全性を強化するというアプローチになる。

という事で、「U2F Security Key」は電話やSMSによる"ワンタイムパスワード"や"認証アプリの確認コード"(OATH OTP)に代わる位置付けとなる。

つまり、電話やスマホを見ながらキーボードやテンキーをポチポチして入力する代わりに「U2F Security Key」を差してボタンをポチッとする事になるわけで、良くも悪くも3400円のUSBキーでのお試し例で言うところの「現状の不満点をほんのちょっと変えられそう…」という印象に留まる。取り敢えず、銀行やサービス毎にセキュリティトークンを使い分ける必要が無くなるだけでも意外と助かると思うので、ぜひ全銀協などでも積極的に推進して頂きたい。

また、USBキー型のドングルを使う事からデスクトップPCやノートPCが前提となってしまうので、PC以外の装置では引き続き"ワンタイムパスワード"や"確認コード"の仕組みは無くならない。とは言うものの、Bluetooth Smart対応の仕様が追加されたので、キーボードを持たないTVやセットトップボックスなどにも対応が拡がり「劇的に便利になる」事を期待したい。

なお、Windows Helloやドコモの"生体認証"に対応するのは「UAF」という仕様で、「U2F」よりワンランク上の仕組み。指紋や虹彩などの個人データをセンターやサーバには持たなくて済むので、間違っても生体情報が漏洩して大騒ぎになる事もなければ、政府から個人情報開示の要請があっても対応できない為、MicrosoftやGoogleが安心して導入できるという事になる。

“生体情報"が手元に保存されるのは銀行ATMと同じだが、偽造が困難なICカードが保存先となるのに対して、「UAF」では入手が容易で改造もしやすいスマホやWindows等の汎用端末内部というのが大きな違いとなる。つまり、汎用環境におけるローカルインタフェースや、クライアント／サーバ間のプロトコルを標準化し、マルチベンダー環境での認証セキュリティ担保の目処が立ったというのが「UAF」の本質であり、Windows Hello(Passport)が実装したと言われている「FIDO 2.0」の仕様公開と普及が待たれる。