車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール...

Digital Identity Standards and their Goals

Nat Sakimura, Chairman, OpenID Foundation

@_nat | www.sakimura.org

Do we have a round wheel yet?

デジタル・アイデンティティの標準化動向とそのゴール米国 OpenID 財団理事長ナット・サキムラ@_nat | www.sakimura.org

車輪は丸くなったか？

なぜ人は車輪の再発明をするのか？

本日の登場人物Ian GlazerSenior Director, IdentitySalesforce Identity@iglazer今年の３月まで、ガートナーのアナリストだった。今日の話のあらすじを作った人。ラーメン LOVE 元米国大統領サイバーセキュリティ特別補佐官ハワード・ A.シュミットエクスジェン・ネットワークス株式会社代表取締役　江川淳一氏

謎の外タレ？何億人もが使っている標準を色々書いているらしい。ラーメン LOVE

デジタル・アイデンティティの標準化分野

認証（ Authentication)

認可 (Authorization)

属性 (Attributes)

プロビジョニング (Provisioning)

Real Name

Professionalqualification

department

Geo-location

Employee number

Entity IdentityResource

Authentication PEP

PDP

PAP

Boss Metadata

Log Log

ApplicationAccounts

Account Provisioning

e.g., OpenID/SAML

e.g., SCIM / SPML

認証

認可

プロビジョニング

属性

© 2013 by Nat Sakimura. All rights reserved.

認証 (Authentication)


Q認証の標準プロトコルは？

認証プロトコルは、十分成熟している。最近の Web サービスが要求する REST+Web API 環境では、 OpenID Connect を使うのが良い。OpenID Connect は、まだ、プロファイルなどを開発中だが、十分使える。もしそれでダメなら SAMLを使えば良い。

今すぐ使え。すぐ使え。日本じゃまさか、パスワード共有なんかしてないよね。

え、mjdsk ？

デファクト＝パスワード共有

じゃないんですか？

パスワード共有なんかしてない？！本当に？！

2 種類のパスワード共有

サイトA

サイトB

サイトC

[email protected]@$$w0Rd



サイトA

サイトB

サイトC


インターネット規模でこうなる？？？

mailto:[email protected]




2 種類のパスワード共有

サイトA

サイトB

サイトC

[email protected]@[email protected]

p@$$w0Rd



だめじゃん

サイトごとに異なるパスワード？サイト

A

サイトB

サイトC

[email protected]@$$w0Rd1



人間は何個パスワードを覚えられるのか？




パスワード金庫で万事解決？！

サイトA

サイトB

サイトC




パスワード変更とかどうするの？




サイトごとにトークン発行すれば、パスワード覚えなくて良いじゃん！

今現在、４００個以上パスワードあるんですけど…

TokenInside

いやいや、スマホアプリで OTP!

400 個アプリ入れるんすか？

無いわ～


?どうしてみんな、そんなにユーザのことを無視するの？


セキュリティの専門家って、人の能力の限界とか、行動特性を考えない人が多くて困る。

元米国大統領サイバーセキュリティ特別補佐官ハワード・ A. シュミット


?どうして SSO しないの？

… だって、安いんだもの… だって、ニーズが無いんだもの

by サービス・プロバイダ


パスワードベースのシステムを作るのは、公害垂れ流しの工場を作るのと一緒なん

だよね。安く作れるような気がするけど、それは他人にコストを押し

付けてるだけ。


みんな自主的にやらないんだったら、パスワード税をかけるか、パスワード総量規制をかけるかが、外部性制御の定石だな。


そんな規制が来る前に…


みなで、サービス・プロバイダに要求し

よう！


今すぐ使え。すぐ使え。


認可 (Authorization)


車輪に例えると、数度の再発明を経て、認証は十分丸い、よく転がる車輪になっ

たんだよね。


これに対して、認可に使われる XACML は

…


単純化と、REST+JSON

化が必要だね。


その意味で、OAuth は良いのだけどね。特に、認可決定の伝達という意味では。


でも、その認可内容を表すScope は標準化されてない

しね。


そこのところは UMA が役に立つんだろうけど、まだ標準化には時間がかかるよ

ね。


属性 (Attributes)


属性は、認可決定・アクセス許可のためのキーファ

クターだね。たとえば、どこからアクセスしてきているかとか、と

ても重要。おさらいすると…


Real Nam

eProfessionalqualification

department

Geo-location

Employee number

Entity IdentityResource

Authentication PEP

PDP

PAP

Boss Metadata

Log Log

ApplicationAccounts

Account Provisioning

e.g., OpenID/SAML

e.g., SCIM / SPML

認証

認可

プロビジョニング

属性


でも、その属性スキーマの決定版って、無いん

だよね。決まってるのは、“name”:”value” ペアをつか

うということくらい * 。

* Graph API も、 OpenID Connect UserInfo も、 SCIM もそうしている。


SCIM は、エンタープライズでもコンシューマでも使えるから、これを中心に考えて行くんだろ

うね。


OpenID Connect も、 SCIM が

キャッチアップしてくること前提で、あえて細かいスキーマは決めな

かったんだよね。


プロビジョニング (Provisioning)


　　　　 v.2は、

ちっとも丸くない車輪だね。


DSML は丸かったけど、今更役に立た

ないね。


やっぱ、デファクトは独自 CSV で

しょ。


それじゃ、自動でつながらないでしょ！


やっぱ、かね。 Salesforce も Oracle もサポートしてるしね。みんなサポートしようね！まだ、時間かかるけどね。


みなで、 SCIM サポートを要求しないと、認証の二の舞いになるから、今から要求してい

こうね。


将来に向けて…


今、デジタル・アイデンティティを取り巻く環境は激変しているね。従来型のエンタープライズ ID 管理が


だったのに対して、


非常に多数の人が


Reports to

Reports toReports to

Works with

お互いに関係性を持ち


250 億とも( ガートナー推計）


500 億ともいわれる

( シスコ推計）


非常にたくさんのモノとの


Reports to

Reports toReports to

Owns

Owns

Owns

Sends data to

Gets data from

Owns

Paired with

Uses

Controls

Owns

Uses

UsesConstrains choice of

Sends data to

Ridden in

Ridden in

Works with

関係性を持っていく


そういう時代がすぐそこまで来てるね。

エクスペリエンスの創生。

IRM* とも言うね。

*IRM – Identity Relationship Management


だね。一方では、そうしたもののセキュリティとプライバシーをちゃんとやっていくことの重要性も訴えていかないとね。


たとえば、電力供給が 99.5% なんて

ときに、「せーの」でインターネット家電をリ

モート ON にされたりしたら、一斉停電になる。

安全保証問題だね。


IoT屋さんには、そのあたり気にしていない人が多くて、 National Critical Infrastructure の保護の観点からすごく気になってる。

元米国大統領サイバーセキュリティ特別補佐官ハワード・ A. シュミット


組込み機器とかで使いやすい、省電力な認証・認可の開発は急務だね。あと、アップデートされないコンピュータ問題も大きいね。ハートブリードだって未だに…。これがIoT で拡大すると…。


標準を作るだけで満足しちゃいけないね。それを使って、何をするかが問題だね。

今、われわれのレベルで出来るのは…


1. 標準の採用


標準を使わないということは、車輪の再発明をしてるはずだからね。もし、現在の標準が間尺に合わないなら、ユースケースを標準化団体に提出して「標準化」すれば良い。


大阪では、来週も経産省主催の関連シンポジウムがあるね。

そういうところに行って勉強するところからスタートするのも良いね。


詳細： http://www.jipdec.or.jp/event/20140926_trustframework.html


2. 他の人が採用するのを助ける


OpenID と SAMLを使う SDK つくって、 SCIM やOAuth のオープンソース実装作って、まず自社の開発者を助けなさい。そして、コミュニティを助けなさい。


3. 標準の採用を要求する


技術提供社にサービス・プロバイダに自社の開発者に

標準の採用を要求しなさい。


丸い車輪≠

ゴール


Follow: @_nathttp://www.sakimura.org/

Thanks!

車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール...

Internet

Transcript of 車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール...