セキュリティ

SECURITY

公開：2024-10-18

FIDOアライアンスがクレデンシャル交換の新仕様ワーキングドラフトを発表、パスキーの安全な移行とユーザー選択肢の拡大を実現へ

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• FIDOアライアンスがCredential Exchange Specificationsのワーキングドラフトを発表
• 新仕様により、パスキーを含むクレデンシャルの安全な交換が可能に
• ユーザーのクレデンシャルプロバイダー選択肢が拡大

FIDOアライアンスが新たなクレデンシャル交換仕様のワーキングドラフトを公開

FIDOアライアンスは2024年10月14日、クレデンシャルを安全に交換するための新仕様「Credential Exchange Specifications」のワーキングドラフトを発表した。この仕様は、ユーザーがパスキーを含むすべてのクレデンシャルをプロバイダー間で安全に移動できるようにすることを目的としている。パスキー採用の加速とユーザーエクスペリエンスの向上を見据えた取り組みだ。^[1]

新仕様は、Credential Exchange Protocol (CXP)とCredential Exchange Format (CXF)の2つで構成されている。これらは、クレデンシャルマネージャー内のパスワード、パスキー、その他のクレデンシャルを別のプロバイダーに転送する際の標準フォーマットを定義している。従来のクリアテキストでの転送ではなく、安全性を確保したデフォルトの転送方法を提供することが特徴だ。

FIDOアライアンスのCredential Provider Special Interest Groupのメンバーが中心となって開発を進めており、1Password、Apple、Google、Microsoftなど主要な企業が参加している。仕様は現在ワーキングドラフトの段階であり、コミュニティからのレビューとフィードバックを募集中だ。今後、仕様の更新と公開レビューを繰り返し、最終的に実装承認を得る予定となっている。

Credential Exchange Specificationsの主な特徴

パスキーについて

パスキーとは、パスワードレス認証を実現するための新しい認証技術のことを指しており、主な特徴として以下のような点が挙げられる。

• 生体認証や端末のロック解除を利用した認証方式
• フィッシング攻撃やパスワード漏洩のリスクを大幅に低減
• ユーザーの利便性と安全性を両立した認証手段

FIDOアライアンスの発表によると、現在120億以上のオンラインアカウントでパスキーを使用したアクセスが可能になっている。パスキーを使用したサインインは、フィッシングやクレデンシャルの再利用を防ぎつつ、従来のパスワードや二要素認証と比較して最大75%速く、20%成功率が高いという利点がある。この新しい認証方式の普及により、オンラインセキュリティの向上が期待されている。

Credential Exchange Specificationsに関する考察

FIDOアライアンスが発表したCredential Exchange Specificationsは、パスキーの普及とユーザーの選択肢拡大という点で画期的だ。クレデンシャルの安全な移行を可能にすることで、ユーザーがより自由にクレデンシャルプロバイダーを選択できるようになり、結果としてパスキー採用の加速につながる可能性が高い。ただし、異なるプロバイダー間でのクレデンシャル交換には、データフォーマットの互換性やセキュリティポリシーの統一など、技術的な課題が残されているだろう。

今後の課題としては、クレデンシャル交換時のユーザー認証や承認プロセスの標準化が挙げられる。ユーザーの意図しないクレデンシャル移行や、悪意のある第三者による不正なクレデンシャル取得を防ぐためのセキュリティ対策が必要不可欠だ。また、プライバシー保護の観点から、クレデンシャル交換時に最小限の個人情報のみが転送されるような仕組みの実装も重要になるだろう。

期待される新機能としては、クレデンシャル交換の履歴管理や、複数のクレデンシャルプロバイダーを同時に利用できるマルチプロバイダーサポートが挙げられる。さらに、企業向けのエンタープライズ機能として、組織内でのクレデンシャル管理や監査機能の強化も望まれる。FIDOアライアンスには、これらの課題解決と新機能の実装を通じて、より安全で使いやすい認証エコシステムの構築を期待したい。

参考サイト

1. ^ FIDO Alliance. 「FIDO Alliance Publishes New Specifications to Promote User Choice and Enhanced UX for Passkeys - FIDO Alliance」. https://fidoalliance.org/fido-alliance-publishes-new-specifications-to-promote-user-choice-and-enhanced-ux-for-passkeys/, (参照 24-10-18).
2. Apple. https://www.apple.com/jp/
3. Microsoft. https://www.microsoft.com/ja-jp
4. Google. https://blog.google/intl/ja-jp/

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧