FIDO認証とは？パスワードレスを実現する認証方法についてご紹介

FIDO(ファイド)とは、「Fast IDentity Online」を略したもので、生体認証を用いた認証技術の標準化を目指す国際規格のことです。生体認証を基本とした認証方法で、近年パスワードレス認証を普及させるために推進されています。

生体認証との違い

生体認証は指紋や顔、虹彩といった生体情報そのものを鍵として認証に用いる方法です。一方、FIDO認証では生体情報も認証の際に扱いながら、そのほかの情報を組み合わせて認証を進めていきます。1つの情報ではなく、複数の情報で認証を行うことを「多要素認証」と呼び、FIDO認証は多要素認証の1つに分類されます。

FIDO認証の特徴

最大の特徴は、利用者が複雑なパスワードを設定する必要なく高いセキュリティレベルを担保できる点です。

現在、広く使われているユーザーIDとパスワードの組み合わせで行う認証方法はセキュリティ上安全性の高い方法とは言えません。

FIDO認証は、生体情報を基本としているため文字列のパスワードが必要ありません。また、第一段階の生体認証は端末ごとで行うため、登録した生体情報がインターネット上に流れることもありません。機密情報をインターネット上に置くリスクもないため、第三者に情報が流失する危険性は極めて低くなっています。

FIDO認証の種類

大きく以下の3種類があります。

• FIDO UAF
• FIDO U2F
• FIDO2

一般的にFIDOは、「FIDO UAF」か「FIDO U2F」のどちらかを指しています。

「FIDO2」は「FIDO UAF」と「FIDO U2F」を組み合わせた仕組みになっていて、特定の端末が不要である点が特徴です。今後、普及が進んでいくとFIDO2が主流になっていくと考えられています。

FIDO認証が注目されているのは、従来のパスワードを使った認証方法が複数の課題を抱えているためです。

第一に、パスワードが第三者に渡ってしまうと今使っているアカウントを不正に使われてしまう危険性があります。

また、パスワードを作ると、パスワードを覚えなくてはなりません。利用しているサービスが1つや2つであれば問題ありませんが、数が増えるとどのパスワードがどのサービス用のものかわからなくなってしまいます。最悪の場合ログインができなくなってしまうこともあります。そこで、パスワードへの依存を減らす方法としてFIDO認証に注目が集まっています。

FIDO認証はどれくらい普及している？

2022年時点において、広く普及しているとはいえず、これからの普及が期待されます。2022年5月、FIDO標準化を目指している団体「FIDO Alliance」は　Apple、Google、マイクロソフトの3社がFIDO標準規格のサポートをさらに拡大すると発表しました。

大手3社が導入し力を入れたこともあり、今後はより身近なところまで普及していくと考えられます。

FIDO認証を利用する主なメリットは以下の2点です。

セキュリティの強化

1つ目のメリットは、従来の認証方法よりもセキュリティを強化できる点です。FIDO認証では認証に必要な生体情報などをサーバーが保有しないため、第三者がインターネットを介して情報を狙って攻撃を仕掛けても、利用者の情報が外部に流失することはありません。

また、認証は生体情報をベースとしているため、容易に乗っ取りや不正アクセスができない仕組みになっています。

利便性の向上

2つ目のメリットは、利便性が向上する点です。FIDO認証では、端末に生体情報を登録し、サーバーに置かれた情報を呼び出すだけで認証を終えられます。パスワードを使った認証方法はパスワードが増えれば増えるほど利用者の負担も増えていました。

認証には専用のデバイスと生体情報があれば済むため、複雑なパスワードを設定・入力する時間を省くことができ、ストレスなく作業を進めていく環境が整備できます。

一方、FIDO認証を利用するデメリットは以下の2点です。

実装するには専用のデバイスが必要

FIDO認証を実装するには専用のデバイスが必要です。現在「FIDO UAF」と「FIDO U2F」の2種を主流としていますが、どちらの方法も生体認証を行うための専用端末や暗号キーが必要になります。

また、現在用いられている多くのFIDO認証では、生体情報を紐付ける端末は一人一台が主流です。何か不測の事態が発生し、認証のために使っていた端末が紛失・破損してしまった場合、認証を行う手段を失います。複数の端末を紐づける方法や、端末が変更された時の再登録作業など課題は抱えています。

未対応のWebサービスもある

2つ目のデメリットは、普及がまだ進んでいないため、未対応のWebサービスがある点です。「FIDO UAF」や「FIDO U2F」は利用に際し、専用の端末を必要とするのに対し「FIDO2」は専用の端末を必要とすることなく利用が可能です。しかし、FIDO2は他の2種の方法以上に普及が進んでいません。

一般的な認証方法とはまだいえないため、未対応のWebサービスが多く、導入してもスムーズに利用できないことが予想されます。

最後に仕組みについて解説していきます。

FIDO認証の仕組み

FIDO認証は生体情報も含めて認証を行い、サーバーと端末の関係性は「公開鍵暗号方式」を採用しています。公開鍵暗号方式は、端末側で生体認証を行い、サーバー側では端末の認証を行う仕組みとなっています。

特徴の1つとして、端末とサーバー間で認証に関わる情報のやり取りを行わない点が挙げられます。機密情報がネットワーク上に乗ることがないため、情報漏洩のリスクが低くなっています。

「秘密鍵」と「秘密鍵を利用するための認証」を突破するのは困難

仮にFIDO認証を不正に突破しようとする場合、「秘密鍵」と「秘密鍵を利用するための認証」が必要になります。

「秘密鍵」は認証に使う端末に保管されています。秘密鍵を手に入れることは端末そのものを保有しなければいけないため、現実的とはいえません。何らかの方法で端末本体を手に入れたとしても次に「秘密鍵を利用するための認証」、つまり生体情報が必要になります。ここまでのコストをかけなければ突破することはできないので安全性は非常に高くなっています。

まとめ

FIDO認証は生体情報を基本とした新しい認証方法として注目を集めています。専用のデバイスが必要なため普及が進んでいないという問題は抱えていますが、大手企業が機能拡張を進めていくこともあり、導入の拡大が予想されています。

安全性の高さは担保されているので、興味のある方は導入の検討を進めてみてはいかがでしょうか。