Spring Securityでハードウェアトークン認証

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Copyright © Yoshikazu Nojima 2018 自己紹介 • 能島良和 • 通信キャリアでホスティングサービスの開発・運用 • 前職は通信キャリア系SIerで社内向けにSpringのPJ技術支援業務 • Twitter:@shiroica • GitHub:ynojima • Apache CloudStackというOSSのコミッタ • Apache CloudStackはSpringの上に構築されています :) 1

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Copyright © Yoshikazu Nojima 2018 Web Authentication仕様とは最近W3Cで勧告候補になった、ハードウェアトークンによる二段階認証や生体認証によるセキュアな認証をウェブで実現するためのWeb標準。Firefox Beta/Chrome Canaryで実装済 • ローカル認証 • ユーザーとクライアントプラットフォーム間の認証 • 公開鍵認証 • クライアントプラットフォームとサーバー間の認証の合わせ技の認証方式 5 ユーザークライアントプラットフォームサーバーローカル認証（指紋認証等）公開鍵認証昨日のPublickeyのWebAuthnの紹介記事：

Slide 7

Slide 7 text

Copyright © Yoshikazu Nojima 2018 Spring Securityで実装してみました spring-security-webauthn • Web Authentication仕様を実装するspring-securityの認証プロバイダを実装しライブラリ化 • https://github.com/ynojima/spring-security-webauthn 6 ※多要素認証の実現上、Spring Security本体の実装にも手を入れる必要があり、本体側にもPull Req中

Slide 8

Slide 8 text

Copyright © Yoshikazu Nojima 2018 Web Authenticationの認証フロー（概略） • ユーザー登録 • ユーザー認証 7 ユーザー認証デバイスブラウザサーバー DB ユーザー認証デバイスブラウザサーバー DB • チャレンジ • チャレンジ • ドメイン名 • 署名 • 署名されたデータ • チャレンジ • ドメイン名 • 他 • 署名 • 署名されたデータ署名、ドメインチャレンジ、他の検証 RP固有公開鍵の読込 RP固有公開鍵の保存 • 認証承認操作 • 登録承認操作 • RP （サイト）固有公開鍵 • RP固有公開鍵ローカル認証公開鍵認証認証情報を検証認証情報を検証 RP固有秘密鍵で署名

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text