WebAuthnWeb Authentication（WebAuthn：ウェブオースン[1][2][3][4]）とは、FIDO2に基づくパスキーで使用されていて、ユーザーの公開鍵認証のインターフェイスをウェブ型のアプリケーションやサービスへと標準化するための、World Wide Web Consortium (W3C)によるウェブ標準である[5][6]。FIDO Allianceから支援を受けている[7]。ユーザーの証明をやり取りする時にウェブサイトとウェブブラウザ間の相互作用を形式化する試みであるW3Cのより一般的なクレデンシャル管理APIの拡張を実装する。 2019年3月4日に、Web Authentication レベル1がウェブ標準として承認された[8]。 概要前身のFIDO Universal Second Factor (U2F)のように、W3C Web Authentication (WebAuthn)は下記のようにウェブサイト、ウェブブラウザ、認証器が対応している:[5]
WebAuthnはWebAuthn Relying Partyと称する検証者に要求者が所有をどのように証明するかを明記し、FIDO2認証器をコントロールする。認証プロセスは準拠するウェブブラウザに過ぎないWebAuthn Clientと呼ばれるエンティティが取り持っている。  右図では、認証器はハードウェア認証器と仮定する。どちらの場合でも、認証器は多要素暗号認証器でWebAuthn Relying Partyを対象とした認証アサーションに証明するために公開鍵暗号を利用する。ユーザー確認にPINを使用すると仮定するとして、認証器は「ユーザーが持っているもの」でPINは「ユーザーが知っているもの」とする。 WebAuthn Relying PartyはJavaScriptを経由してWebAuthn Client（ウェブブラウザなど）に指示する。WebAuthn Clientはブラウザに実装されたJavaScriptのAPIをする認証器とやり取りする。認証器はFIDO Client to Authenticator Protocol 2.0に準じている。 仕様書
対応ウェブブラウザ全ての主要なウェブブラウザが Web Authentication に対応している。
対応アプリケーション、デバイス→詳細は「パスキー」を参照
 Web Authenticationは各アカウント固有の「ユーザーハンドル」識別子を参照する機能を追加したことで古いハードウェアトークンを保存することができなくなったにもかかわらず既存のFIDO U2FセキュリティキーはWebAuthn標準とほぼ互換性がある[5]。最初のFIDO2互換認証器の1つはYubicoの第2世代セキュリティキーであることが2018年4月10日に発表されている[15]。 Dropboxは2018年5月8日にWeb Authenticationログイン(2段階認証として)に対応したと発表した[16]。 批判2018年8月、Paragon Initiative Enterprisesは予定されているWebAuthn標準のセキュリティ検査を行った。この時は特定の悪用は発見されなかったが、この標準が使用し権限を与える基礎的な暗号の方法においていくつかの重大な脆弱性を発見したとしている[17]。 批判の主要な点は、過去に他の暗号化システムで問題になっていた2つの潜在的問題を中心に回っていて、そのために同じようなサイバー攻撃の被害に遭うのを避けなければいけないという点である:
脚注
関連項目外部リンク |
