パスワードよ、さようなら！生体認証の導入はこんなに簡単

Transcription

1 パスワードよ さようなら! 生体認証の導入はこんなに簡単 ~ 最新の国際標準規格 FIDO2 適用実演 2019 年 5 月 17 日富士通株式会社ポータルサービス事業部渡邊博実 0

2 FIDO とは 1

3 パスワードの課題 セキュリティ 信頼性 利便性 UX 両 できていない 攻撃への対応強化 リスト攻撃 フィッシング キーロガー 低下する一方 パスワードだらけ 入れるのが手間 定期的な変更 パスワードは個 の 記憶の能 に依存 強化に限界 強化施策が逆に使いまわし メモなどのセキュリティリスク発生要因に 2

4 パスワードを覚えない世界 FIDO 登場 FIDO( ファイド ):Fast パスワードの要らない世界 を実現するオンライン認証の新標準 IDentity Online 国際的な標準規格 世界 260 社以上が参画する FIDO Alliance 規格を策定 が 様々なプラットフォームをサポートスマートデバイス /PC幅広く利 可能などで 3

5 パスワードと FIDO パスワード認証 利 者 パスワード internet なりすまし覗き サーバ攻撃 事業者サーバ パスワード認証 FIDO 認証 利 者 本人認証 45.. チャレンジ FIDO サーバ 端末認証 事業者サーバ 生体認証 秘密鍵 * 署名 公開鍵 署名検証 体情報はデバイス内でセキュアに管理 ローカル認証で外部へ出ないため漏えいリスク無し オンライン認証は公開鍵暗号方式によりセキュリティを確保 利便性とセキュリティを確保した堅牢なオンライン認証を実現 4

6 FIDO lliance A について 2012 年 7 月に設 の 営利の国際標準化団体 2019 年 5 月現在 260 社以上が参画 主な参画企業 paypal / visa / American express / Amazon TTdocomo / google / nok / nok Mi labs / ook faceb / yahoo!japan tsu etc. / Fuji 各種標準化関連団体がFIDO Liaisonプログラムメンバー (Bluet ooth, W3C openid 等 ) 各国の政府機関系メンバー ( 米 NIST 英 BSI 独 中国 韓国など ) も参画 出典 :FIDO Alliance 今後のオンライン認証のデファクトスタンダドになると世界で注目 5

7 新規格 FIDO2 について Web 認証を可能にする FIDO2 Project ( 出典 :fido lliance a FIDO2 Overvie FIDO1.x FIDO UAF FIDO U2F (@FIDO) WebAuthn (@W3C) CTAP (@FIDO) 既存の FIDO 規格 (UAF( 生体認証 ) U2F) と並列して提供 以下の 2 つの新仕様が規定 WebAuthn : Web 認証 API 仕様 (Web uthentication) A CTAP : デバイス間連携仕様 (C lie nt To Authenticator Protocol) 各 PFの主要 Webブラウザが標準でサポート 利 シーンが拡大 (chrome,e dge,safari,firefox etc.) 6

8 FIDO2 で変わること 例えば Chrome でログインするとき パスワードは不要 7

9 FIDO2/WebAuthn 8

10 FIDO2 の要素 FIDO2 CTAP WebAuthn 認証器 Client( ブラウザ ) RP アプリ / サーバ WebAuthn:Web 認証 API 仕様 CTAP: デバイス間連携仕様 認証器 (PF 認証器 ) 9

11 FIDO2 システム構成図 デスクトップ PC スマートフォン WebAuthn JS API サービスアプリケーション JavaSc ript ブラウザ OS プラットフォーム RP アプリサーバ FIDO サーバ PF 認証器 秘密鍵 公開鍵 外部認証器 USB/ NFC/BLE CTAP2 10

12 登録シーケンス 認証器ブラウザ RP アプリ / サーバ PF 認証器 or AP CT WebAuthn 登録画面よりユーザ名送信 challenge User 情報 RP 情報 username challenge User 情報 RP 情報 challenge( 乱数 字列 ) を生成 鍵ペア生成秘密鍵を安全な領域に格納 challenge を署名 秘密 Javascript を実 して登録処理を実施 navigator.credentials.create() Crede ntial Id 公開鍵 署名 challenge Attestation Attestation を返信署名された challenge 生成した公開鍵 11 Crede ntial 公開鍵 署名 challenge Id Attestation 署名と Attestation の検証公開鍵を DB に登録 ユーザ名 Crede ntial 情報 公開鍵 サーバ登録情報

13 認証シーケンス 認証器ブラウザ RP アプリ / サーバ PF 認証器 or AP CT WebAuthn 認証画面よりユーザ名送信 challenge RP 情報 username challenge RP 情報 challen geを生成し返答 Javascript を実 して認証処理を実施 navigator.credentials.get() 認証が OK の場合 認証器の秘密鍵で challenge を署名 署名 Crede ntial challenge+rp 情報 署名 Id Crede ntial challenge+rp 情報 署名 Id Assertion を解読し 署名された電文を公開鍵で検証 秘密 Assertion を返信 challenge+rp 情報を秘密鍵で署名 ユーザ名 Crede ntial 情報 公開鍵 サーバ登録情報 12

14 実装範囲 認証器ブラウザ RP アプリ / サーバ PF 認証器 or AP CT WebAut hn 認証画面よりユーザ名送信 username challen geを生成し返答 認証がOKの場合 認証器の秘密鍵でchallengeを署名 challenge RP 情報 各ブラウザが処理してくれるのであまり気にしなくても良いが 署名 Crede ntial challenge+rp 情報 署名 challenge RP 情報 Javascript を実 して認証処理を実施 navigator.credentials.get() Id ここをどう実装するか悩まないといけない Crede ntial challenge+rp 情報 署名 Id Assertion を解読し 署名された電文を公開鍵で検証 秘密 Assertion を返信 challenge+rp 情報を秘密鍵で署名 ユーザ名 Crede ntial 情報 公開鍵 サーバ登録情報 13

15 登録処理の実装サマリー 登録時 各役割毎で実施する処理 1.RPサーバランダムなcha llenge 値を作成機能のリプレイ攻撃対策 2. クライアントは RP サーバ名の検証機能フィッシング詐欺対策 3. 認証器は鍵ペアの生成機能と秘密鍵を安全な場所への保管機能 4.RP サーバは受信した Attestation の解読処理 署名の検証フィッシング詐欺対策認証器の秘密鍵が安全であることの証明 5.RP サーバにてユーザと公開鍵の紐づけ 公開鍵の管理 14

16 認証処理の実装サマリー 認証時 各役割毎で実施する処理 1.RPサーバランダムなcha llenge 値を作成機能のリプレイ攻撃対策 2. クライアントは RP サーバ名の検証機能フィッシング詐欺対策 3. 認証器はユーザ認証要求機能 ( 指をかざすなどの操作 ) と署名機能 4.RPサーバは受信したAssertionの解読処理 公開鍵で署名の検証フィッシング詐欺対策なりすまし抑止 15

17 テクニカル情報 仕様書は下記サイトにドキュメントが公開されています

18 富士通の FIDO ソリューション 17

19 富士通の FIDO ソリューション nok nok labs 社とのコラボレーションにより 高機能 高信頼の FIDO ソリューションを提供 各種セキュリティ基準に準拠したクラウドで運用 FIDO プロトコル対応手のひら静脈認証器 nok nok labs S3 Authentication nd SDK Se FIDO2 を含め現 のFIDO 規格を全サポート 弊社サービスの認証サーバとして採用 nok nok labs 社 FIDO 規格を提唱した中核企業 FIDO lliance A Board メンバーであり FIDO 仕様の策定 / 認定に参画 富士通 オンライン生体認証サービス 18

20 FIDO サーバのシーケンス 認証器ブラウザお客様 RP アプリ FJ FIDO サーバ 認証画面よりユーザ名送信 username 認証要求 challenge RP 情報 challenge RP 情報 challen geを生成 ユーザ認証 Crede ntial challenge+rp 情報 署名 Id Crede ntial challenge+rp 情報 署名 Id 電文解読 署名の検証 認証結果を通知 富士通の FIDO ソリューションのカバー範囲 公開鍵 認証結果をもって処理 19

21 FIDO サーバのシーケンス 認証器ブラウザお客様 RP アプリ FJ FIDO サーバ 認証画面よりユーザ名送信 username 認証要求 challenge Crede ntial Id RP 情報 challenge Crede ntial Id RP 情報 challen geを生成 ユーザ認証 Credetial 認証器情報 challenge+rp 情報 署名 FIDOプロトコルを意識しなくても Id Credetial Id Web 認証が実現 認証器情報 challenge+rp 情報 署名 電文解読 署名の検証 公開鍵の管理を実施 公開鍵 認証結果をもって処理 20

22 実装構成 Desktop/Mob ile お客様 RP Web アプリ AppSDK JS API Web Authn JavaScript API ブラウザ internet お客様環境 お客様 RP アプリサーバ AppSDK JS API AppSDK JS 実装するためドキュメント サンプルコード 組み込む OS プラットフォーム 認証処理 PF 認証器 秘密鍵 富士通クラウド FIDO サーバ 外部認証器 公開鍵 21

23 App SDK JS API App SDK JS API アプリに組み込むことで利 をWEB できる機能 FIDO 認証器の登録 (registration) FIDO 認証器で認証 (authentication) Crede nti al 情報の管理 : 登録済みの鍵の 覧 (list) 削除 (deregistration) さらに FIDO サーバへの独 したネットワーク接続 豊富なエラーハンドリング UAF U2F プロトコルも容易に利 が可能 22

24 インプリイメージ ログイン お客様 Web RP アプリ FIDO 認証要求 1 AppSDK のインスタンス生成 エンドポイント指定 2 3 セッション情報生成 JSON ssiondata se object 認証処理要求 authenticate() FIDO サーバ WebAuthn 認証操作 認証処理結果 認証結果を いた処理 23

25 インプリイメージ 先ず App SDK PI JS のロード A <head>... <script src=" <script src=" </head> お客様 WEB アプリ RP AppSDKWrapper.js AppSDK.js fido2-clie nt.js navigator.credentials.create() navigator.credentials.get() 24

26 インプリイメージ 1 インスタンス生成とエンドポイントサーバ (FIDO ) を指定 var appsdkw = new AppSdkWrapper(); appsdkw.init( fido2") var appsdk = appsdkw.appsdk; appsdk.srcpage = window.location.href; appsdk.regendpoint = " appsdk.authendpoint = " 25

27 インプリイメージ 2 セッション情報生成 sessiondata = { sessionkey:<session_key>, pushhandle:<push_handle> } RPアプリサーバとFIDOサーバ間は JWTトークンをもって信頼関係が担保される 電文 + SessionData (JWT トークン ) RP JWT( 秘密 ) FD JWT( 公開 ) RP アプリサーバ RP Web アプリ AppSDK JS API ブラウザ Desktop/Mob ile 電文 + SessionData (JWT トークン ) FD JWT( 秘密 ) RP JWT( 公開 ) FIDO サーバ 26

28 デモのインプリイメージ 3 認証処理要求 appsdkw.authenticate(sessiondata).then(function(response) { // handle success.catch(function(outcome) { // handle error }); 処理結果やユーザ情報 FIDO サーバ側で発 した署名 (JWT トークン ) などが返却 27

29 実演 テストサーバ index.html ( ログイン ) regi ster.html ( 登録 ) FIDO2 静脈認証器 ブラウザ インターネット tomcat FIDOログインが成功すると respo nseにusernameとjwtトークンが返却される FIDO サーバ 28

30 最後に 29

31 関連展示デモご紹介 セキュリティ (A) オンライン認証の最新規格 FIDO2 で広がる生体認証活用 A 通路 通路 アンケート 出口 コンシェルジュ テーマステージ 地下 2 階展示ホール 入口 30

32 紹介商品のご購入 ご導入を検討中のお客様へ FUJITSU IoT Solution 生体センサー認証ソリューションオンライン生体認証サービス Web 上の商品情報サイト 電話での問い合わせ 富士通コンタクトライン ( 総合受付 ) 31

33