コンシューマ向け IDサービスの今と Akamaiのアプローチ

Transcript

1. © 2020 Akamai | Confidential 1 コンシューマ向け IDサービスの今と Akamaiのアプローチ アカマイ・テクノロジーズ合同会社 クラウドセキュリティアーキテクト 山口 央
2. © 2020 Akamai | Confidential 2 主題 ❏ OAuth/Open ID ConnectとAkamai Identity Cloud ❏ OAuth最新のベストプラクティス ❏ 進化した認可リクエスト ❏ Akamaiのアプローチ - Identity + More ❏ Live Codingデモ
3. © 2020 Akamai | Confidential 3 OAuth/Open ID ConnectとAkamai Identity Cloud User コンシューマ向けIDサービスの標準に早期から準拠 Client Authorization Server Resource Server ❏ 権限委譲型の認可フ レームワークで Password共有を回避 ❏ 認証を追加して認証〜 認可まで標準化 ID/Password Token Resourceリクエスト Resource ❏ UserのPasswordを Clientと共有する問題 が露呈 OAuth OIDC アンチ パターン User Client, Attacker Resource Server Resource Serverの ID/Password Resourceリクエスト Resource
4. © 2020 Akamai | Confidential 4 OAuth最新のベストプラクティス 　APIを前提としたセキュリティベストプラクティス ❏ フロントエンドの実行 環境からResource Serverにアクセスする Public Clientが台頭 ❏ Public ClientにはProof Key Code Exchangeを 推奨 User Client Authorization Server Resource Server ID/Password 認可コード Tokenリクエスト w/ Code Verifier Token Resourceリクエスト Resource ログイン 認可リクエスト w/ Code Challenge Loginフォーム Code Challenge を保管 Code Challenge と突合
5. © 2020 Akamai | Confidential 5 進化した認可リクエスト ❏ 以前までは複雑な認可 情報をAuthorization Server側で静的に保持 ❏ 複雑な認可リクエスト をJSONで構造化して 動的にAuthorization Serverに登録 User Client Authorization Server Resource Server ID/Password 認可コード Tokenリクエスト Token Resourceリクエスト Resource 複雑な認可 リクエストを登録 認可リクエスト w/ Request URI Loginフォーム Request URI 認可リクエストをClient側で作成 = “Stateless Authorization” Pushed Authorization End Point
6. © 2020 Akamai | Confidential 6 Akamaiのアプローチ - Identity + More 多層防御で安全なデジタル体験を提供 Client サービスの停止 サイトの破壊 リスト型の攻撃 Accountの乗取り 情報の不正搾取 Resource Server DDoS Protection Web Application Firewall BOT Management Customer Identity Management API Protection リクエスト 攻撃 対策
7. © 2020 Akamai | Confidential 7 Live Codingデモ Next.jsのサンプルを作成してAkamai Identity Cloudで認証・認可 環境 Next.js Sample Application Akamai Identity Cloud User ログイン 認可リクエスト Loginフォーム 手順 ID/Password Token 1. Next.js Starter Applicationの テンプレートを作成 2. トップページを修正して Akamai Identity Cloudに認証 リクエストを送信 3. 認証完了後のページを作成
8. © 2020 Akamai | Confidential 8 まとめ ❏ 現代のApplicationは最新のOAuthベストプラクティスが不可欠 ❏ 進化した認可リクエストでStateless Authorizationを実現 ❏ Akamai Identity Cloudを利用して認証・認可の実装や個人情報管理 から開放 ❏ Akamaiが提供する多層防御で安全なデジタル体験を
9. © 2020 Akamai | Confidential 9