「UAF」「U2F」とは

　FIDOには2つの認証方法がある。1つは、パスワード不要の認証を可能にする「Universal Authentication Framework」（UAF）プロトコル。もう1つは2要素認証を可能にする「Universal 2nd Factor」（U2F）プロトコルだ。FIDOの将来のバージョンでは、この2つのプロトコルがさらに進化して調和することが期待されている。

　UAFは端末ローカルの認証メカニズムを選択して、使用中の端末をオンラインサービスに登録する。指によるスワイプ操作、顔写真の自撮り、マイクへの発声などの生体認証を認証メカニズムとして利用できる。一度登録すれば、サービスへの認証が必要なときは同じプロセスを踏めばよく、パスワードは不要になる。

　オンラインサービスはセキュリティを高めるために、指紋や音声といった固有要素とパスワードやPINなどの知識情報を組み合わせた多要素認証を求めることもできる。現在は多くの端末に高性能なカメラ、マイク、指紋リーダーが搭載されている。つまり2者間で信用を確立する生体認証が、これまで以上に実装しやすくなっているということだ。

　一方のU2Fは、パスワードやPINといった知識情報と、FIDOに準拠した端末を組み合わせて2要素認証を実現する。パスワード／PINが1つ目の要素で、端末を所有していることが2つ目の要素となる。エンドユーザーは、ログイン時に個人のFIDO準拠端末を使って公開鍵と秘密鍵のペアを作成。オンラインサービスとの間で公開鍵を共有し、端末所有者のアカウントに関連付ける。以降は、この公開鍵と秘密鍵のペアを使用することで、エンドユーザーを認証できる。

　FIDO準拠端末として一般的に用いられるのは、取り外し可能なUSBトークンだ。他にも「Trusted Platform Module」（TPM）や「セキュアエレメント」などのセキュリティ専用チップ、「Bluetooth Low Energy」「近距離無線通信」（NFC）といった通信チップなどの選択肢がある。攻撃者がアカウントやアプリケーションのログイン情報を悪用するには、エンドユーザーのクレデンシャル情報（ID／パスワードなど認証に必要な情報）とFIDO準拠端末の両方を手に入れなければならない。

　UAFでは、クレデンシャル情報がオンラインサービスベンダーと共有されることはなく、公開鍵のみがエンドユーザーの端末と関連付けられる。このためベンダーが攻撃を受けても、アカウントや個人データが侵害される危険性を抑えることができる。FIDOで用いる生体測定データも同様に、端末以外の場所に格納することは決してない。1台の端末から任意の数のオンラインサービスへログインすることが可能だが、オンラインサービスがエンドユーザーを追跡するために、端末が生成した情報を使用することはない。

　FIDOは急速に世界的な認証のデファクトスタンダードになりつつある。FIDO Allianceには現在、端末ベンダーや主要な銀行、保険企業、主要なクレジットカードネットワーク、幾つかの政府機関、さまざまなセキュリティ／生体認証ベンダーなど、世界各国から250組織を超えるメンバーが参加している。

　米国のバラク・オバマ前大統領が設置を命じたセキュリティ組織Commission on Enhancing National Cybersecurity（米国サイバーセキュリティ強化委員会）の報告書では、FIDO Allianceが同委員会の目標達成において果たす役割について言及している。英国政府が新たに発表した「National Cyber Security Strategy」（国家サイバーセキュリティ戦略）でも、FIDOに投資する姿勢を示している。

　U2Fに初めて準拠したWebブラウザは、GoogleのWebブラウザ「Chrome」だ。他の主要WebブラウザでもU2F準拠機能の実装が進むと考えられる。オンラインサービスへのログイン時には、ショートメッセージサービス（SMS）で受信した6桁のパスコードを入力するのではなく、FIDO準拠のUSBキー（U2Fセキュリティキー）をクライアントPCに差し込み、Webブラウザから求められたときにタップするだけでよくなる。

　Googleは約2年に渡るU2Fセキュリティキーの導入状況を分析し、サポートコストが減少したと報告している。同社ではU2Fセキュリティキーが、ワンタイムパスワード（OTP）に代わる従業員の認証方法となった。これによってGoogleは年間数千時間を節約できたと見積もる。さらにOTPベースの認証では3％の確率で認証が失敗していたが、U2Fセキュリティキーでは認証の失敗は一切起こっていない。