HOME情報セキュリティ資料・報告書・出版物調査・研究報告書情報セキュリティ技術動向調査(2008 年上期)

本文を印刷する

情報セキュリティ

情報セキュリティ技術動向調査(2008 年上期)

9 アイデンティティ管理技術

工藤 達雄

1 はじめに

  最近のアイデンティティ管理技術の動向についてまず言えるのは、サービス間でアイデンティティを相互連携させる上でコアとなる仕様の標準化が、昨年12 月のOpenID 2.0の最終版の確定をもって、ほぼひと段落したということである。今後は、それらコアとなる仕様を基盤とした応用技術の進展が期待される。
  本報告では、まずコアとなる仕様に関して大きなトピックであるOpenID 2.0 について概観し、後に今年上半期の技術動向を紹介する。

2 OpenID 2.0

  OpenID とは、ユーザが自身のID を自由に選択し、それをさまざまなWeb サービス へのログインに利用できる、非集中型のアイデンティティ・フレームワークのことである。
  2007 年 12 月 にリリースされた、いわゆる「OpenID 2.0 」とは、「OpenIDAuthentication 2.0」[1] と「OpenID Attribute Exchange(AX)1.0」[2] の両仕様から構成される。

  OpenID Authentication 2.0 仕様では新たに、ユーザ識別子としてのXRI(Extensive Resource Identifier)のサポートや、XRDS(Extensive Resource Descriptor Sequence)文書によるサービス(エンドポイント等) の発見機構が盛りこまれた。これにより、利用者の利便性とサービス拡張の自由度が向上している。

  加えて導入されたコンセプトである「ディレクテッド・アイデンティティ」によって、 利用者は、OpenID プロバイダ(アイデンティティ情報を管理するプロバイダ) が提示し た複数のデジタル・アイデンティティ候補の中から、リライング・パーティ(アイデンテ ィティ情報を利用するプロバイダ) ごとにどれを用いるかを選択することができ、プライ バシーを保つことが可能となっている。
  一方のOpenID AX 1.0 は、OpenID Authentication 仕様をコアとする拡張仕様のひと つである。本仕様では、OpenID に対応したWeb サイト間でやり取りするユーザの属性 情報に関して、その交換方法を定めている。AX 1.0 に準拠することで、OpenID プロバイダが管理しているユーザの個人情報を、リライング・パーティが取得/ 更新できるよう になる。
  OpenID Authentication は適用分野が「Web アプリケーションへのログイン」に限定 されており、比較的実装しやすいことから、Web アプリケーションをOpenID 対応にす る(リライング・パーティ化する) ためのライブラリが多数開発されている。またリライ ング・パーティの数は急増しており、有力OpenID プロバイダの一社であるJanRain が 確認したところによれば、2008 年7 月1 日の段階で18,000 サイト余りとなっている[3]

3 異種プロトコルの相互運用

  コアとなる各仕様がほぼ確定したことは先に述べたが、一方それらの異なる仕様同士の 相互運用は、まだ十分に検討されているとは言いがたい。この「アイデンティティ・プロ トコル間の相互運用」の推進を目的に昨年設立されたのが「コンコーディア・プロジェク ト」である。本プロジェクトには各種仕様の策定メンバーやその仕様を実装するベンダー、 そして仕様を実システムに活用するユーザ企業が参加しており、さまざまな導入シナリオ をベースに議論を続けている。
  4 月に開催されたRSA Conference 2008 において、コンコーディア・プロジェクトは、 以下の相互運用試験を実施した[4]

-     「インフォメーション・カード」(後述) によるユーザ認証と、SAML(Security AssertionMarkup Language) / WS-Federation によるシングル・サインオンの連携: ユーザはアイデンティティ・プロバイダにおいてインフォメーション・カードによ って認証される。後にその認証に成功したという結果をもって、ユーザはSAML 2.0 もしくはWS-Federation プロトコルに対応したリライング・パーティにシングル・ サインオンする。
- SAML と WS-Federation との間でのシングル・サインオンの連鎖: ユーザは SAML 2.0 アイデンティティ・プロバイダにログインし、後にWS-Federation リラ イング・パーティへシングル・サインオンする。また逆にユーザはWS-Federation ア イデンティティ・プロバイダにログインし、後にSAML 2.0 サービス・プロバイダ (アイデンティティ情報を利用するプロバイダ) にシングル・サインオンする。

4 アイデンティティ情報の交換におけるガバナンスとアシュアランス

  サービス間でのアイデンティティ属性交換におけるガバナンスとアシュアランスを確立 するための標準化を、現在複数の組織が進めている。
  リバティ・アライアンスは6 月に、「Identity Governance Framework (IGF)」仕様の ドラフトを公開した[5]。IGF は、サービス間で交換される属性の利用や保管を制御する ための方法の確立を目的としている。今回公開された仕様は以下のふたつである。

-     Client Attribute Requirements Markup Language (CARML) は、アイデンティティ 情報の利用者側が、提供側に対し、必要な属性や利用目的などの情報を伝達するため の形式を定義する。CARML 自体は情報交換のプロトコル(例えばLDAP, WS-Trust, ID-WSF など) には依存しない。またアクセス・ポリシーや認証方法などの定義はせ ずに、外部の仕様を取り込むことにしている。
- Privacy Constraints は、収集目的、伝搬、格納、表示に関する基礎的なプライバシ ー条件を定義するための仕様である。Privacy Constraints によって定義される要素 は、WS-Policy と併せて、CARML 内でのポリシー定義に用いられる。

  また認証ポリシー/アシュアランスに関しては、OpenID とリバティ・アライアンスの 両組織において、仕様策定の動きがある。

-     OpenID は 6 月にProvider Authentication Policy Extension (PAPE) ワーキン グ・グループ(WG) を結成した[6]。本WG では、OpenID プロバイダの認証ポリ シーをリライング・パーティと交換し、ユーザの本人確認における認証レベルを担保 するための仕様であるPAPE の策定を目指す。
- リバティ・アライアンスは6 月にIdentity Assurance Framework(IAF)仕様のリリ ースを一般公開した[7]。IAF はアイデンティティ情報が確かなものかどうかの保証 レベル(assurance level) の定義と、アイデンティティ・プロバイダが各レべルを達 成するための手順(運用プロセス)を規定し、そして組織に対する各アイデンティティ 保証レベルの認定を行なっていく予定となっている。

5 リピュテーション(評判)

  サービス間でのアイデンティティ情報の交換には、単に技術的な接続性だけではなく、 交換する相手の信頼可能性も考慮すべき要素のひとつである。例えばアイデンティティ情 報を利用するプロバイダでは、アイデンティティ情報を管理するプロバイダが表明したユ ーザの認証結果や属性情報が、どの程度信頼可能かを認識する必要がある。また逆にアイ デンティティ情報を管理するプロバイダにおいては、アイデンティティ情報を利用するプ ロバイダの信頼可能性に応じて、提供する情報の内容を制限したり、あるいは提供しないと 判断することになる。
  先行して策定されたSAML や Liberty Alliance ID-FF (Identity Federation Framework) に代表されるアイデンティティ連携仕様では、相手の信頼可能性を認識する ために、事前にサービス同士が信頼関係を確立する。これにより、価値の高いアイデンテ ィティ情報の交換(企業間での情報共有や、医療情報の提供など) へ適用しやすい。しか しこの前提が、一般向けのWeb サービスのような、サービス同士が連携相手を事前に特 定しづらい分野への、導入の障害となっている。
  一方OpenID のように事前の信頼関係を必ずしも必要としない仕様は、これとは逆に 「ブログへのコメントの認証」のような、比較的重要ではないアイデンティティ情報を交 換する用途に向いている。だが相手の信頼可能性を事前に測ることができないため、例え ばクレジットカード番号を提供する場合、あるいは特別なサービスへのログイン処理を他 のサイトに委ねる場合などには、SAML / ID-FF と同様、連携する相手を制限せざるを得 ない。
  このように、アイデンティティ情報の交換における信頼可能性の把握には、信頼できる 相手を静的に限定することが一般的に行なわれている。これに対し先般、リピュテーショ ン(評判) 情報を使って動的に相手の信頼可能性を推測し、その結果をアイデンティティ 情報を交換するかしないか、あるいはどの程度の情報を交換するか、の決定に役立てるた めの試みが始まっている。
  OASIS は 4 月に、Open Reputation Management Systems (ORMS) 技術委員会[8] を設置した。ORMS は評判データの表現形式の共通化と、評判スコアの標準的な定義を 目的としており、評判スコアの計算方法やアルゴリズムの定義は検討対象に含まない。
  ORMS は今後、ユースケース文書や要件等をまとめ、2009 年 3 月に評判データおよ び評判スコアのためのXML スキーマなどを策定する予定である。

6 まとめ

  2008 年上半期(正確には昨年末から)、アイデンティティ管理技術においては、OpenID 2.0 の確定や、異種アイデンティティ連携仕様間の相互運用に関して一定の成果があった。 さらに、より重要なアイデンティティ情報をセキュアに交換する上での基礎となるガバナ ンス/ アシュアランス、そしてリピュテーションについて、標準化の動きが活発化してい る。
  また本稿では紙数の関係から割愛したが、アイデンティティ情報を利用目的に応じた 「カード」に見立てて、ユーザがサービス利用時にどのようなアイデンティティ情報を提 示するか(典型的には「どのID でログインするか」) を、カードを選択する感覚で制御 できるようにする「インフォメーション・カード」についても、2008 年 6 月に Information Card Foundation が設立されたこともあり、今後実装間の相互運用や実サー ビスでの試行が進むものと思われる。
  2008 年下半期も引き続きこれらの動向に注目しつつ、エンタープライズ分野でのアイ デンティティ管理技術の動きにも着目していきたい。


以上

参考文献

[1] Final: OpenID Authentication 2.0 - Final
http://openid.net/specs/openid-authentication-2_0.html

[2] Final: OpenID Attribute Exchange 1.0 - Final
http://openid.net/specs/openid-attribute-exchange-1_0.html

[3] JanRain ≫ Blog Archive ≫ Relying party Stats as of July 1st 2008
http://janrain.com/blog/2008/07/08/relying-party-stats-as-of-july-1st-2008/

[4] RSA IOP Scenarios - Project Concordia
http://projectconcordia.org/index.php/RSA_IOP_Scenarios

[5] Liberty Alliance Announces First Release of Identity Governance
  Framework Components
http://www.projectliberty.org/liberty/news_events/press_releases/ liberty_alliance_announces_first_release_of_identity_governance _framework_components

[6] Notice of vote on the proposal to create the PAPE working group
http://openid.net/pipermail/specs/2008-June/002334.html

[7] Liberty Alliance Releases Identity Assurance Framework
http://www.projectliberty.org/liberty/news_events/press_releases/ liberty_alliance_releases_identity_assurance_framework

[8] OASIS Open Reputation Management Systems (ORMS) TC
http://www.oasis-open.org/committees/orms/

目次へ
次へ