FIDOの仕組み

　本題であるFIDOに話を戻そう。FIDOは、ID／パスワード以外による認証を実現する「UAF」（Universal Authentication Framework）と、前述の知識要素と所有要素による2要素認証を実現する「U2F」（Universal Second Framework）という2つのプロトコルで構成される。

UAF

　1つ目のUAFは、ID／パスワードではなく、指紋認証や顔認証といった生体情報、または「PIN」と呼ばれる4桁程度の短い暗証番号を使った認証を可能にするプロトコルだ。

　UAFによる認証を利用するには、エンドユーザーはFIDO準拠のソフトウェアやハードウェアを備えた端末（以下、FIDO対応端末）を利用する必要がある。また利用したいオンラインサービスについても、FIDOによる認証を可能にしているオンラインサービス（以下、FIDO対応サービス）であることが前提となる。

　さらに、認証に当たっては事前準備が必要になる。まずエンドユーザーは、FIDO対応端末に、認証要素として生体情報またはPINを登録する。生体情報を認証要素に使う場合、端末に備わる生体認証装置を使って取得する。生体情報またはPINの登録を終えると、FIDO対応端末はエンドユーザーの秘密鍵と公開鍵を生成する。次に、FIDO対応端末は、エンドユーザーが利用したいFIDO対応サービスに生成した公開鍵を登録する。

　事前準備を済ませたFIDO対応サービスにエンドユーザーがログインするときは、「チャレンジ・レスポンス認証」という仕組みを使ってエンドユーザーを認証する。まず、エンドユーザーがFIDO対応端末からFIDO対応サービスにアクセスする。FIDO対応サービスはログイン時、FIDO対応端末へ「チャレンジ」というデータを送信。FIDO対応端末は事前登録した生体情報やPINが入力されると、チャレンジと秘密鍵を基に「レスポンス」というデータを作成し、FIDO対応サービスへ送信する。FIDO対応サービスはこのレスポンスを事前登録された公開鍵で検証し、正規のエンドユーザーだと判断すればログインを許可する。

　UAFではこのように、ID／パスワードを使うことなく認証が完了する。加えて、エンドユーザーの情報は端末側だけで保存・確認し、オンラインサービス側にはエンドユーザーの公開鍵を送信するだけなど、セキュリティ強度も確保している。利用には端末側とサービス側がFIDOに準拠している必要があるものの、利便性と安全性を両立できる有力な認証プロトコルだといえるだろう。

U2F

　U2Fは、UAFとは異なりID／パスワードを認証要素として利用する。知識要素であるID／パスワードに加え、所有要素として「U2Fデバイス」という専用機器を2つ目の認証要素として用いる。詳細は割愛するが、U2Fデバイスは秘密鍵と公開鍵を生成し、FIDO対応サービスに公開鍵を事前登録して認証する。U2FデバイスにはUSB経由で端末と接続するUSBドングルの他、Bluetoothなどによる通信機能を備えた機器が想定されている。ID／パスワードは依然として必要になるが、UAFと比べて比較的容易に導入できるのがU2Fの利点だ。

「Windows 10」への実装でFIDO普及が加速か

　FIDOが広く普及するかどうかを考える上で、見逃せない出来事がある。米Microsoftが2015年7月にリリースした最新OS「Windows10」で、認証機能としてFIDOが採用されたのだ。具体的には、「Windows Hello」「Microsoft Passport」という機能として実装されている。

Windows Hello

　Windows Helloは生体認証機能だ。認証手段として、指紋認証、顔認証、虹彩認証の利用を可能にしている。顔認証では赤外線センサーにより顔の凹凸を判別することを想定しており、本人の顔写真で認証することはできない。また認証精度も高く、認識失敗率は2～4％程度と非常に低いようだ。

Microsoft Passport

　一方のMicrosoft Passportは、上述したUAFと同じく、ID／パスワードを利用しない認証機能だ。一連の処理は先ほど紹介したUAFのプロトコルと同様である。認証要素には4桁のPINまたはWindows Helloを利用する。Windows Helloの利用は必須ではないので、生体認証装置のないクライアントPCでも認証強度を高めることができる。オンラインサービス利用時には秘密鍵と公開鍵を生成し、Windows 10端末側に秘密鍵、オンラインサービス側に公開鍵を登録する。

　広く普及するWindowsがFIDOの認証方式を採用したということは、FIDOは事実上の業界標準技術だと考えてもよいだろう。2015年秋口からはWindows 10をプリインストールしたクライアントPCも相次いで発売される。FIDO準拠の生体認証装置を備えたクライアントPCが市場を席巻すれば、FIDO対応サービスは一気に広がるはずだ。