FIDO2 とは?

FIDO2 パスワードレス認証は、一般に、アカウント認証の最初の要素と第 1 要素としてパスキーを使用することで機能します。つまり、ユーザーが FIDO2 でサポートされているオンライン サービスに登録すると、認証を実行するために登録されたクライアント デバイスによって、その Web アプリまたは Web サイトでのみ機能するキー ペアが生成されます。

公開キーは暗号化され、サービスと共有されますが、秘密キーはユーザーのデバイス上で安全に保持されます。その後、ユーザーがサービスにサインインしようとするたびに、サービスはクライアントに固有の課題を提示します。クライアントはパスキー デバイスをアクティブ化して、秘密キーを使用して要求に署名し、それを返します。これにより、プロセスはフィッシングから暗号的に保護されます。

FIDO2 認証子の種類

デバイスで一意の FIDO2 パスキーのセットを生成する前に、アクセスを要求しているユーザーが承認されていないユーザーまたはマルウェアの種類ではないことを確認する必要があります。これは、PIN、生体認証、またはその他のユーザー ジェスチャを受け入れることができるデバイスである認証システムを使用して行われます。

FIDO 認証システムには、次の 2 種類があります:

ローミング (またはクロスプラットフォーム) 認証子

これらの認証子は、ユーザーのクライアント デバイスとは別のポータブル ハードウェア デバイスです。ローミング認証子には、USB プロトコルまたは近距離通信 (NFC) と Bluetooth ワイヤレス テクノロジを介してクライアント デバイスに接続するセキュリティ キー、スマートフォン、タブレット、耐久性、およびその他のデバイスが含まれます。ユーザーは、FIDO キーを接続してボタンを押すか、スマートフォンで指紋などの生体認証を提供するなど、さまざまな方法で ID を確認します。 ローミング認証子は、ユーザーが複数のコンピューターでいつでも、どこでも認証できるため、クロスプラットフォーム認証子とも呼ばれます。

プラットフォーム (またはバインドされた) 認証子

これらの認証子は、デスクトップ、ノート PC、タブレット、スマートフォンなど、ユーザーのクライアント デバイスに組み込まれています。パスキーを保護するための生体認証機能とハードウェア チップで構成されるプラットフォーム認証システムでは、ユーザーがクライアント デバイスを使用して FIDO でサポートされているサービスにサインインし、同じデバイス (通常は生体認証または PIN) を使用して認証する必要があります。

生体認証データを使用するプラットフォーム認証システムの例としては、Microsoft Windows Hello、Apple Touch ID と Face ID、Android 指紋などがあります。

FIDO2 でサポートされているサービスに登録してサインインする方法:

FIDO2 認証で提供される強化されたセキュリティを利用するには、次の基本的な手順に従います:

FIDO2 でサポートされているサービスに登録する方法:

手順 1:サービスに登録するときに、サポートされている FIDO 認証方法を選択するように求められます。

手順 2:PIN の入力、指紋リーダーへのタッチ、FIDO2 セキュリティ キーの挿入など、認証子がサポートする簡単なジェスチャを使用して FIDO 認証システムをアクティブにします。

手順 3:認証子がアクティブになると、デバイスによって、デバイス、アカウント、サービスに固有の秘密キーと公開キーのペアが生成されます。

手順 4:ローカル デバイスには、秘密キーと、認証方法に関連する機密情報 (生体認証データなど) が安全に格納されます。公開キーは暗号化され、ランダムに生成された資格情報 ID と共にサービスに登録され、認証サーバーに格納されます。

FIDO2 でサポートされているサービスにサインインする方法:

手順 1:サービスは、ユーザーの存在を確認するために暗号化チャレンジを発行します。

手順 2:メッセージが表示されたら、アカウント登録時に使用したのと同じ認証ジェスチャを実行します。ジェスチャーでプレゼンスを確認すると、デバイスはデバイスにローカルに保存されている秘密キーを使用してチャレンジに署名します。

手順 3:デバイスは、署名されたチャレンジをサービスに返送し、安全に登録された公開キーを使用して検証します。

手順 4:完了すると、ログイン状態になります。