FIDOアライアンス

FIDOアライアンスの以前のロゴ

FIDO （Fast IDentity Online）アライアンスは、 2013年2月に設立されたオープンな業界団体です。その使命は、「パスワードへの過度の依存を軽減する」認証標準の開発と推進です。[ 1 ] FIDO^は^、^強力な認証を使用するデバイス間の相互運用性の欠如に対処し、ユーザーが複数のユーザー名とパスワードを作成して記憶する際に直面する問題を軽減します

FIDOは、指紋や虹彩スキャナ、音声および顔認識などの生体認証に加えて、トラステッドプラットフォームモジュール(TPM)、USB セキュリティトークン、組み込みセキュアエレメント(eSE)、スマートカード、近距離無線通信(NFC)などの既存のソリューションや通信規格を含む、幅広い認証テクノロジをサポートしています。 ^[²^] USBセキュリティトークンデバイスは、単純なパスワード(4桁のPINなど)を使用するか、ボタンを押すことで認証するために使用できます。仕様では、デバイス中心のモデルが強調されています。安全でないチャネルを介した認証は、公開鍵暗号化を使用して行われます。ユーザーのデバイスは、公開鍵を登録することによって、ユーザーをサーバーに登録します。ユーザーを認証するために、デバイスは保持している秘密鍵を使用して、サーバーからのチャレンジに署名します。デバイス上の鍵は、生体認証やボタンを押すなどのローカルユーザージェスチャでロック解除されます。

FIDOは、使用されるプロトコルに応じて2種類のユーザーエクスペリエンスを提供します。^{[ 2 ]}両方のプロトコルは、ユーザーが使用するローカル認証方法が何であっても、クライアント側で共通のインターフェースを定義します。

仕様

以下のオープン仕様は、FIDOウェブサイトから入手できます。^{[ 3 ]}

ユニバーサル認証フレームワーク（UAF）
- UAF 1.0 提案標準（2014年12月8日）
- UAF 1.1 提案標準（2017年2月2日）
- UAF 1.2 レビュードラフト（2017年11月28日）

ユニバーサルセカンドファクター（U2F）
- U2F 1.0 提案規格（2014年10月9日）
- U2F 1.2 提案規格（2017年7月11日）

FIDO 2.0（FIDO2、2015年11月12日にW3Cに寄贈）^{[ 4 ]}
- FIDO 2.0 提案標準（2015年9月4日）

クライアントから認証者へのプロトコル(CTAP)
- CTAP 2.0 提案規格（2017年9月27日）
- CTAP 2.0 実装草案（2018年2月27日）

U2F 1.0 Proposed Standard（2014年10月9日）は、FIDO 2.0 Proposed Standard（2015年9月4日）として知られる仕様の出発点となりました。FIDO 2.0 Proposed Standardは、 2015年11月12日にワールド・ワイド・ウェブ・コンソーシアム（W3C）に正式に提出されました。 ^{[ 5 ]}その後、W3C Web認証（ WebAuthn ）標準の最初のワーキングドラフトが2016年5月31日に公開されました。WebAuthn標準はその後何度も改訂され、2019年3月4日にW3C勧告となりました。

一方、U2F 1.2 提案標準 (2017 年 7 月 11 日) は、2017 年 9 月 27 日に公開された Client to Authenticator Protocol 2.0 提案標準の出発点となりました。FIDO CTAP 2.0 は W3C WebAuthn を補完するものであり、どちらもFIDO2 プロジェクトの範囲内にあります。

FIDO2

FIDO2プロジェクトは、FIDOアライアンスとワールド・ワイド・ウェブ・コンソーシアム（W3C）の共同プロジェクトであり、Webのための強力な認証を実現することを目的としています。FIDO2の中核は、W3C Web認証（WebAuthn）標準とFIDOクライアント認証プロトコル2（CTAP2）で構成されています。^{[ 6 ]} FIDO2は、FIDOアライアンスによるこれまでの取り組み、特にUniversal 2nd Factor（U2F）認証標準に基づいています

WebAuthnとCTAPを組み合わせることで、プロトコルのエンドポイントがユーザー制御の暗号化認証装置（スマートフォンやハードウェアセキュリティキーなど）とWebAuthn Relying Party（FIDO2サーバーとも呼ばれる）で構成される標準認証プロトコル^{[ 7 ]}を指定します。Webユーザーエージェント（Webブラウザ）はWebAuthnクライアントとともに、認証装置とRelying Partyの間の仲介者を形成します。単一のWebAuthnクライアントデバイスは複数のWebAuthnクライアントをサポートすることができます。たとえば、ラップトップは、ラップトップで実行されている準拠ユーザーエージェントごとに1つのクライアントをサポートすることができます。準拠ユーザーエージェントはWebAuthn JavaScript APIを実装します。

その名前が示すように、クライアント認証プロトコル（CTAP）は、準拠した暗号認証器がWebAuthnクライアントと相互運用することを可能にします。CTAP仕様では、CTAP1/U2FとCTAP2と呼ばれる2つのプロトコルバージョンが参照されています。^{[ 8 ]}これらのプロトコルのいずれかを実装する認証器は、通常、それぞれU2F認証器またはFIDO2認証器と呼ばれます。CTAP1/U2Fプロトコルも実装するFIDO2認証器は、U2Fと下位互換性があります。

スマートフォンをコンピュータネットワーク上の暗号認証装置として使用する発明は、2002年に出願された米国特許7,366,913号に記載されている。^{[ 9 ]}

マイルストーン

(2014年10月9日) U2F 1.0 標準規格案がリリースされました
(2014年12月8日) UAF 1.0 標準規格案がリリースされました^{[ 10 ]}^{[ 11 ]}
(2015-06-30) FIDOアライアンスは、U2FのトランスポートプロトコルとしてBluetooth技術と近距離無線通信（NFC）をサポートする2つの新しいプロトコルをリリースしました^{[ 12 ]}
(2015-09-04) FIDO 2.0 標準案がリリースされました
- FIDO 2.0 キー認証フォーマット
- FIDO 2.0 署名フォーマット
- FIDO 2.0 認証情報にアクセスするための FIDO 2.0 Web API
(2015年11月12日) FIDOアライアンスは、FIDO 2.0の標準提案をワールド・ワイド・ウェブ・コンソーシアム(W3C)に提出しました^{[ 5 ]}^{[ 13 ]}
(2016-02-17) W3CはWeb認証ワーキンググループを設立した。
(2017-02-02) UAF 1.1 標準案がリリースされました
(2017-07-11) U2F 1.2 標準規格案がリリースされました
(2017-09-27) クライアント認証プロトコル2.0提案標準がリリースされました
(2017-11-28) UAF 1.2レビュードラフトがリリースされました
(2018-02-27) クライアント認証プロトコル2.0実装ドラフトがリリースされました
（2019年3月）W3CのWeb認証（WebAuthn）勧告（FIDOアライアンスのFIDO2仕様の中核コンポーネント）が公式のWeb標準となった。^{[ 14 ]}