国際規格「FIDO（ファイド）」準拠のオンライン生体認証サービスで世の中はここまで変わる：パスワードはもう要らない！

オンラインサービスが増加する現在、あまたのIDとパスワードに悩むユーザーに対して、サービス提供者はどうすれば新たな価値を提供できるのか。1つの解を提示するFIDOというオンライン認証規格や、それを実装するオンライン生体認証サービスの可能性について、標準化団体に参画する富士通の担当者に話を聞いた。

[PR／＠IT]

IDとパスワードが増え続け、ユーザーの負担も増加している

　オンラインショッピングやネットバンキング、業務アプリケーションなど、利用する際に最も重要となるのが本人認証だ。その手段として長らく採用されているのがIDとパスワードによる認証方式だが、オンラインサービスが年々増加する現在、ユーザーとサービス提供者の双方にさまざまな不都合が生じている。

　例えばユーザーは、「管理しなければならないパスワードが多過ぎる」「複雑で長いパスワードの作成が面倒」「パスワードを忘れた場合のリセットが煩雑」などの不満を抱えている。一方のサービス提供者は、「自社サーバに保存された認証情報の漏えいが心配」「ユーザーによるパスワードの使い回しでリスト型攻撃（※）のリスクが増大している」「認証トークン（ソフトウェアやハードウェア）の運用管理が大変」といった課題がある。

※他サービスで漏えいしたIDとパスワードをそのまま使って認証を成功させる攻撃

　これに1つの解を提示するのが、FIDO（Fast IDentity Online）だ。

　FIDOは、オンライン認証の国際規格だ。2012年7月、非営利の標準化団体「FIDO Alliance」が発足され、現在はGoogleやMicrosoft、Intel、PayPal、VISAなど250を超える企業・組織が参画。日本でも2016年12月にボードメンバーのNTTドコモを含めた「FIDO Japan WG」が発足し、日本市場での普及を目指して活動している。

　FIDOでは、スマートフォンなどのデバイスに搭載された指紋認証や虹彩認証などを使って、本人であるという認証をデバイス上で行う。認証した結果を秘密鍵で署名し、サービス提供者は事前にサーバに登録された公開鍵を使って署名を検証するという仕組みだ。生体情報は、サービス提供者側のサーバではなく、ユーザーが持つデバイス内のセキュアな領域に格納されており、インターネットを介してサーバ上で照合を行うわけではないため、経路上からもサーバ上からも認証情報が漏れる心配はない。

富士通 イノベーティブIoT事業本部 フロントデジタルサービス事業部 シニアディレクター揚田昌人氏

　何よりも、デバイスの機能をそのまま活用できることで、ユーザーは認証トークンを管理するなどの負担がなく、サービス提供者にとっても導入コストを低く抑えられるのが大きな利点だ。

　FIDO Japan WGに参画する富士通の揚田昌人氏は次のように述べる。「国内のFIDO対応端末としてはNTTドコモの各種スマートフォンがあり、弊社が提供するサービスを利用すると、iPhone 5s以降や、Android OS 6.0以上のスマートフォンに加え、顔認証によって、2017年時点の国内利用端末の大部分がカバーされる」

FIDO準拠の生体認証で日常の生活は、ここまで変わる

　FIDO準拠の生体認証は、どのような場面で活用できるのか。「本人であることの確認が必要な場面は想像以上に多く、導入の可能性は無限大だ」と揚田氏は話し、幾つか例を挙げた。

FIDO市場の広がり

　まず思いつくのは、EC決済やオンラインバンキングだ。ハードウェアの認証トークンは電池切れを起こしたり壊れたりする可能性があり、運用サポートの潜在的な負担は大きい。FIDOのメリットがユーザーとサービス提供者の双方で如実に表れる事例でもある。

　また、スーパーマーケットやコンビニエンスストアなどでは、店舗の精算用アプリを起動し、商品のバーコード読み込みが完了したら精算を選択し、生体認証。その後精算機にスマートフォンをタッチして決済するようなスムーズな流れで買い物ができる。

　駅や家などにある宅配ロッカーも、生体認証があれば宅配業者の荷物受け取りに活用することが可能だ。宅配ロッカーのセンサーにスマートフォンをかざし、認証されたら荷物を受け取るといった具合だ。

　チケット販売やテーマパークの入場でも、用途が考えられる。特にチケットは転売の問題があり、例えばコンサートへの入場時に生体認証と組み合わせた電子チケットを提示すれば、確実に本人であると確認できる。

　同様に、ビジネスホテルでも専用アプリを介して予約からチェックイン・チェックアウト、決済までを完結することも、生体認証で本人確認ができれば実現できる。ルームキーについても、スマートフォンが「鍵」に置き換われば、無人フロントも実現可能だ。ホテル業務は簡素化され、その他の付加価値サービスへリソースを割くこともできる。

　その他、スマートロックやスマートキーなどIoTデバイスと連携させることで、車のレンタルや不動産物件の下見など、これまで何かと制約が多かった「鍵」という物理リソースがソフトウェアリソースとして無駄なく柔軟に活用される世の中になることは想像に難くない。

富士通のオンライン生体認証サービスは、シンプル＆トータルサポート

　このように大きな可能性を秘めるFIDOを、サービスに実装するために富士通が提供するソリューションが「オンライン生体認証サービス」だ。提供開始は、2017年4月上旬を予定している。

システム構成と富士通提供サービス範囲

　導入方法は至ってシンプル。サービス提供者は自社がユーザー向けに開発するスマートフォンアプリに、富士通が提供するSDK（Software Development Kit）を使ってFIDOの認証機能を実装。後は富士通のFIDO用クラウド（FUJITSU Digital Business Platform MetaArcで構築）と認証連携するための環境を構築し、スマートフォンアプリをユーザーに配布する。料金には、導入時の環境構築やスマートフォンアプリへの実装のサポートが含まれる。また年額の基本サービスには、利用実績レポート（年1回）、FIDO認証サービスのQAおよび障害対応、クライアントサポートなどが含まれる。

　同サービスを導入することで、ユーザーの認証操作は大きく簡素化される。ユーザーは、配布されたアプリをスマートフォンにインストールするだけだ。

　揚田氏は自らのスマートフォンを使ってアプリを起動し、カメラに目を向けて虹彩認証を行うと、瞬時にログインが完了した。「虹彩認証や指紋認証など複数の認証方式を選択できるようにしたり、ID／パスワードと組み合わせて多要素認証にしたりと、サービスに合った認証方法を設定できる」（揚田氏）

　なおFIDO未対応の端末の場合でも、富士通の「オンライン生体認証サービス」であれば顔認証用のソフトウェアを提供可能だ。ソフトウェアには、FIDO Authenticatorとして認定されたSensory社の「TrulySecure」が採用されている。これにより、スマートフォンのカメラで顔認証が実現できる。

　パスワードに置き換わる生体認証は、今後主流になることは間違いない。「認証方式の選定から、アプリへのFIDO認証機能の実装、スマートフォンアプリの配信まで、実際のサービス展開までの期間は早くて数カ月から半年程度」と揚田氏は言う。トレンドを先取りするためにも、まずはFIDOに関連する情報を収集してみてはいかがだろうか。