FIDO2：パスワードのいらないウェブの到来

Sarah Van De Vyver, 2021年9月17日

最近、FIDOアライアンス（Fast Identity Online）がFIDO2プロトコルの利用に関する発表を行いました。これは何なのか、従来のログインパスワードにどのような影響を及ぼすのか、また金融機関（FI）はなぜ注意すべきなのでしょうか。

FIDO（ファイド）: 従来のパスワードを排除

総合的なユーザーエクスペリエンスの向上と摩擦を排除することは、金融機関がオンラインとモバイルのアプリケーションを展開するにあたっての鍵となります。ユーザーエクスペリエンスは顧客維持、オンラインサービスのROI、また運用コストに直接的に影響を及ぼします。実際、時間と場所を問わず金融機関に簡単に連動できる機能を持っているカスタマーは、あまりサービスを変えようとしないことが研究で示されています。

フリクションレスのカスタマーエクスペリエンスがバンキングとセキュリティのリーダーたちの最優先事項に挙がる中、最適なユーザーエクスペリエンスを提供するだけでは十分ではありません。FIはまた、異なる規制やガイドライン（PSD２（欧州決済サービス指令第2版）、GDPR、NISTなど）に準拠し、高いセキュリティ基準を維持し、また開発と運用のコスト内に収める必要があります。これらすべてが、フリクションレスなエクスペリエンスを提供するという課題を複雑にしています。

よく、カスタマーエンゲージメントの最初のハードルはログインパスワードだとされています。パスワードを作って管理することが主な悩みになるだけでなく、ログインパスワードはデータ漏洩に対して脆弱と悪名高いこともあります。

FIDO認証は従来のパスワードを強力な認証オプションに置き換えることでこの問題を解決します。生体認証からソフトウェア/ハードウェアトークンまで幅広いオプションがあります。

基本的にFIDO認証は、モバイルとオンラインのアプリケーションで利用するための相互運用可能で標準化された認証のエコシステムを提供します。組織はログインとトランザクションの確認のため、強力な認証を展開することができ、社内開発の追加コストはありません。

FIDO2とパスワードレスウェブ

FIDO2はW3CのWebAuthn APIとFIDOのClient to Authenticator Protocol（CTAP）の連係です。WebAuthnは標準的なAPIで、開発者がFIDO認証をウェブブラウザに組み込むことができます。CTAPで、ユーザーはパスワードなしでログインできます。携帯電話やハードウェアデバイスといった外部オーセンティケーターを利用して認証情報をPCまたは携帯電話にBluetooth、NFC、またはUSBを経由して伝達できます。つまり、FIDO2のおかげで、ハードウェアFIDOオーセンティケーター、あるいはユーザーのPCで利用できる認証方法を用いることでウェブブラウザを認証しやすくなります。

さらに、WebAuthnプロトコルはGoogle、Mozilla、Firefoxといったブラウザに実装されています。AppleのSafariブラウザは、FIDO2スタンダードが国際標準として正式にW3Cに承認されればWebAuthnを組み込むかもしれないと期待されています（注: AppleはFIDOに関して沈黙していますが、同社はWebAuthnワーキンググループの一部をなしています）。W3CがFIDO2を国際標準として承認すれば、パスワードレスウェブは現実可するでしょう。

WebAuthnプロトコルの利点を欲しているFIは、FIDOを既存のオンラインとモバイルのバンキングインフラストラクチャに有効にでき、あるいはあらゆる種類のFIDOオーセンティケーターからの認証リクエストを扱う総合的なFIDOソリューションを実装することができます。

FIDO2は認証されたFIDOセキュリティハードウェアとソフトウェアすべてと後方互換性があることは素晴らしいです。またこれらのソリューションはWebAuthnに対応しているウェブブラウザと今後も連動していくでしょう。FIDOアライアンス自体は、セカンドファクター（U2F）、モバイル（UAF）、あるいはFIDO2であれ、FIDO認証オーセンティケーターのサポートを確証するため、オンラインとモバイルのサービスにFIDOを有効にしてようとしている組織がUniversal Serverを展開することを推奨しています。

OneSpanのFIDO認証

FIDOアライアンスの取締役会メンバーとして、またFIDO2ワーキンググループの実際の参加者として、OneSpanは認証業界を標準化するFIDOのイニシアチブの一部をなしています。当社のFIDO認証ポートフォリオには、U2F、UAF、FIDO2ソリューションをサポートするFIDO Universal Serverソリューションがあります。

現在、組織は認証方法に柔軟性を要します。例えば、ハードウェア認証トークンをカスタマーに発行した多数のFIは、モバイルファーストと考えるカスタマーにモバイル認証も導入しています。そして、幅広いカスタマーのニーズと使用事例のためにハードウェアとソフトウェアのどちらのオプションも必要としています。これに対応するためのOneSpanのサービス:

OneSpan Mobile Security Suite（ワンスパンモバイルセキュリティスイート）の一部として、完全なFIDO（ファイド）機能。つまり、組織はパスワードレス認証を実装して、静的パスワードを生体認証など現代的な機能と置き換え、また同時にモバイルアプリをフィッシング攻撃、中間者攻撃、リプレイ攻撃から保護することで、カスタマーエクスペリエンスを強化できます。
認証ニーズに合わせてFIがソフトウェアとハードウェアを簡単に組み合わせることが可能になるBluetooth対応FIDO（ファイド）ハードウェアトークン。

FIDO認定認証方式は市場に出るとすぐに対応可能です。標準化のおかげで、どのアプリケーションもあらゆるデバイス、あらゆるオーセンティケーターと連携できます。これにより、顧客認証に取り組む方法として組織には過剰なほどの選択肢が与えられます。

パスワードレスログインのためのFIDO（ファイド）とトランザクション検証の使用事例の詳細は、FIDO認証ページをご覧ください。