なぜ認証認可エンジニアはデジタルアイデンティティという言葉を使うのか

freee 技術の日 2026のセッション資料です。

Transcript

1. なぜ認証認可エンジニアはデジタルア イデンティティという⾔葉を使うのか hyudai 2026年10⽉3⽇
2. IAMエンジニア 早坂 悠大(hyudai) 2023年入社 2025年7月より認証・認可の領域に興 味を持ち異動 現在はOpenIdFoundation-japan 人材育成WGに参加
3. 出発点：「仕様は分かるのに、何も改善案が浮かばない」 • チーム異動前、主要な仕様は勉強していました ◦ OAuth 2.0 / OIDC の認可フローとトークン検証 ◦ Passkey（WebAuthn）の公開鍵暗号による認証構造 • しかし、 次に何を学べばいいのかが浮かばない状態でした ◦ OAuth2.0のプロトコルやPasskeyのプロトコルを読み込むことでIdエ ンジニアとしての先が⾒えなかった ▪ 果たしてこれだけでいいのか...? ◦ 技術を独⽴した「点」でしか捉えていなかったからです
4. ケーススタディ：Passkeyを「導⼊する」と「使いこなす」の違い • 【点での捉え⽅】単に認証⼿段を追加しただけ ◦ 「Passkeyはフィッシングに強く安全」と導⼊ ◦ 結果： 攻撃者はPasskeyを無視し、従来通りの弱いパスワード側を狙 うだけ（全体としては安全になっていない） • 【線での捉え⽅】パスキーで安全にする＝パスワードログインの撤廃 ◦ 単なる「機能追加」ではなく、「運⽤の変更（パスワードレス）」 まで踏み込んで初めてスタートライン
5. パスワードを廃⽌した後の世界 • 課題：Passkey紛失‧デバイス移⾏時の復旧 ◦ iPhoneからAndroidへの乗り換えなどでPasskeyを失った場合、どう 復旧するか ▪ ex: 数年後にアカウント使いたくなった時...? • 罠：メールリンクによる復旧への依存 ◦ Passkeyでログインを極限まで強固にしても、復旧が「メール1本」 なら破綻する ◦ 攻撃者は最も弱いメール側を狙って乗っ取る • 攻撃者は最も弱い経路を狙う、つまりシステム全体の安全性は最⼩強度 が参照される
6. 復旧の再設計：認証の喪失から「⾝元確認」へ 【NIST SP 800-63】 復旧時も「同等の保証レベル」を維持 • パスキー等を固めても、復旧がメールならそこが最⼩強度の「裏⼝」になる • 認証強度（AAL）に⾒合う厳格な再バインド⼿続きが必須 【現実解の絞り込み】 A. 事前コード（リカバリーキー） ❌ 実効性の課題 すべて失くして困っている⼈間が、英数字 コードを保管しているわけがない B. ⾝元確認の再実施 ⭕ 現実的な解 現実的に成⽴する「唯⼀の選択肢」
7. 復旧の再設計：認証の喪失から「⾝元確認」へ 【従来の⼿法と限界】 【新たな標準と優位性】 従来のeKYC ホ式（⾝分証撮影 ＋ 容貌確認） JPKI（マイナンバーカード × 公的個⼈認証） ディープフェイク‧偽造の脅威 • 画像加⼯技術の進化により、「⾒た⽬の 確認」は突破されるリスクが激増 ICチップとPKIによる「暗号学的検証」 • 視覚的な偽造が通⽤しない、電⼦証明書 を⽤いた⾼保証な⾝元検証 法改正による「原則廃⽌」への流れ • 犯罪収益移転防⽌法等の⾒直しにより、 画像ベースの確認は縮⼩‧廃⽌の⽅向へ 攻撃難易度を劇的に引き上げる • なりすましのコストを「画像加⼯」から 「物理‧暗号レベル」へ押し上げる
8. 紐付けのパラドックス：⼟壇場で確認しても遅い • では「復旧が必要になった瞬間にマイナンバーカードを出してもらう」で解決するか？ ◦ freeeの法⼈ユーザーの住所はマイナンバーの記載のある住所と同⼀? • 安全な復旧を設計しようとすると… ◦ アカウント作成時、Passkey登録時に、どう本⼈確認し、データを紐付けておくか ◦ ライフサイクル全体の設計が必要
9. ⼀つの「点」が、法制度や公的インフラまで繋がる 「Passkeyを安全に導⼊しきる」という1つの⽂脈から連鎖する5つの領域 01 パスワード撤廃の プロセス 02 スマホ紛失時の リカバリー設計 03 復旧時の⾝元確認 04 eKYC アカウント登録時の データ紐付け 公的個⼈認証 バインディング 最初の⼀点の技術が、サービス全体と社会基盤へと波及していく 05 ガイドラインや 法規制への適合 デジタル庁 犯収法など
10. だから「デジタルアイデンティティ」という⾔葉を使う • 我々が扱っているのは、単なる「認証」や「認可」ではありません ◦ 誰を本⼈と認め（⾝元確認） ◦ どう認証器を紐付け（バインディング） ◦ どう安全にサービスにアクセスさせるか(認証) ◦ 失われた時にどう安全に本⼈へ戻し（リカバリー） ◦ その信頼関係をどう維持し続けるか（ライフサイクル） • サービス上に存在する「その⼈」の扱い全体を成⽴させる営み ◦ 「認証‧認可」という⾔葉だけでは溢れ出す ◦ この広⼤な設計領域を表す⾔葉こそが、デジタルアイデンティティです
11. おわりに：明⽇からの「点」の捉え⽅を変えよう • カンファレンスや勉強会で聞く技術発表は、最初はすべて「点」です • 新しい技術に出会ったら、ぜひ⼀度考えてみてください ◦ 「この技術をサービスに導⼊したら、その前後で何が起きるだろう？」 ◦ その問いを重ねることで、点だった知識が線になり、広がっていきます。 ◦ ⾃分にとって、その⾯全体を理解し、サービスの信頼を設計するための⾔葉が デジタルアイデンティティ • Idエンジニアにもなろう！