教育機関におけるBYOIDとKYC

Slide 1

Slide 1 text

教育機関におけるBYOIDとKYC 伊藤忠テクノソリューションズ株式会社西日本ビジネス開発チーム富士榮尚寛 / @phr_eidentity

Slide 2

Slide 2 text

自己紹介 • 役割 • B2C IDをコアとしたビジネス開発担当。大阪から全国をカバー • 書き物など • Blog（IdM実験室）：https://idmlab.eidentity.jp • 監訳 : クラウド時代の認証基盤 Azure Active Directory 完全解説 • 共著 : クラウド環境におけるアイデンティティ管理ガイドライン • その他活動 • OpenIDファウンデーション・ジャパン理事、KYC WG Chair • 日本ネットワークセキュリティ協会アイデンティティ管理WG • Microsoft MVP for Enterprise Mobility（Jan 2010 -） • LINE API Expert （Feb 2018 -） • Auth0 Ambassador（Sep 2018 -）

Slide 3

Slide 3 text

教育機関の経営とアイデンティティの役割 • 外部から人を呼び込む • 新入生、留学生 • 外部機関からの受け入れ（産学連携など） • 在籍者の管理と保護 • リソース（情報、アプリケーション）の提供と保護 • 在籍している（していた）人への価値提供 • 身元保証機関としての役割

Slide 4

Slide 4 text

教育機関に関係するアイデンティティ種別時系列前中後学生国内入学希望者・候補生在校生卒業生留学生保護者入学希望者の保護者在校生の保護者卒業生の保護者教員常勤希望者・候補者教員 OB/OG 非常勤職員希望者・候補者職員 OB/OG 業者常駐取引希望者・候補者常駐業者過去の取引業者非常駐非常駐業者他の機関他の教育機関在学生、卒業生卒業生、共同研究者卒業生研究機関在学生、卒業生卒業生、共同研究者卒業生一般企業（就職先など）在学生、卒業生卒業生卒業生

Slide 5

Slide 5 text

ID管理は攻めなのか守りなのか • IDを価値に換えた企業が市場で勝っている • コンテンツ提供企業は徹底的にコンテンツに特化して、IdPは外部化している

Slide 6

Slide 6 text

観点によりニーズが異なる • 情報センター • セキュリティ：学内の情報を保護したい • 運用：楽に運用管理を行いたい • 学生課、就職支援課 • 学生とのコミュニケーションを密にしたい • 卒業生の行く先をトラッキングしたい（OB・OG訪問） • IR/広報 • 学生を集めたい • 保護者、卒業生へアピールしたい 2B,2Eの観点 ⇒守り 2Cの観点 ⇒攻め

Slide 7

Slide 7 text

攻めのアイデンティティ（価値を生む領域）種別時系列前中後学生国内入学希望者・候補生在校生卒業生留学生保護者入学希望者の保護者在校生の保護者卒業生の保護者教員常勤希望者・候補者教員 OB/OG 非常勤職員希望者・候補者職員 OB/OG 業者常駐取引希望者・候補者常駐業者過去の取引業者非常駐非常駐業者他の機関他の教育機関在学生、卒業生卒業生、共同研究者卒業生研究機関在学生、卒業生卒業生、共同研究者卒業生一般企業（就職先など）在学生、卒業生卒業生卒業生人を呼び込みたい領域 ⇒教育機関 as RP 在籍している（いた）ことが価値となる領域 ⇒教育機関 as IdP

Slide 8

Slide 8 text

攻めるためのアイデンティティ管理種別時系列前中後学生国内入学希望者・候補生在校生卒業生留学生保護者入学希望者の保護者在校生の保護者卒業生の保護者教員常勤希望者・候補者教員 OB/OG 非常勤職員希望者・候補者職員 OB/OG 業者常駐取引希望者・候補者常駐業者過去の取引業者非常駐非常駐業者他の機関他の教育機関在学生、卒業生卒業生、共同研究者卒業生研究機関在学生、卒業生卒業生、共同研究者卒業生一般企業（就職先など）在学生、卒業生卒業生卒業生人を呼び込みたい領域 ⇒教育機関 as RP 在籍している（いた）ことが価値となる領域 ⇒教育機関 as IdP B2C ID管理の領域 KYCの領域

Slide 9

Slide 9 text

B2C ID管理の例：デジタル・マーケティング顧客の段階認知維持支持必要な機能匿名での操作属性鮮度維持他サービス連携ユーザ同意の取得・管理プロファイル管理実装例他サービスへの ID連携コミュニケーション顧客化全属性の登録認証・認可顧客DB連携（CRM連携）身元確認プロセスの統合個別認証、多要素認証、リスク判定

Slide 10

Slide 10 text

B2C ID管理の例：デジタル・マーケティング顧客の段階認知検討顧客化維持支持必要な機能匿名での操作簡易なID登録全属性の登録属性鮮度維持他サービス連携ユーザ同意の取得・管理プロファイル管理認証・認可実装例 SNSでの ID登録追加属性登録顧客DB連携（CRM連携）身元確認プロセスの統合他サービスへの ID連携コミュニケーション個別認証、SNS認証連携、多要素認証、リスク判定離脱防止に SNSでコンテンツ提供顧客化のための初期登録の簡素化

Slide 11

Slide 11 text

教育機関への応用学生の段階認知検討受験入学学生必要な機能匿名での操作簡易なID登録全属性の登録学内ID登録各種ｼｽﾃﾑ連携ユーザ同意の取得・管理プロファイル管理認証・認可実装例 SNSでの ID登録学生DB登録各種システムへのID連携コミュニケーション個別認証、SNS認証連携、多要素認証、リスク判定受験を検討してもらうための「ゆるい」繋がり密なコミュニケーション全属性登録身元確認

Slide 12

Slide 12 text

オープンキャンパスのコンバージョン率の向上 • 本登録が不要な部分はSNSで簡素化 • SNSでの簡易サインアップ • イベント情報の配信 • 各種サービス提供 • Wifiログイン • 説明会予約 • 興味を持ってもらったら本登録へ誘導

Slide 13

Slide 13 text

類似事例）新卒採用業務改善＠CTC 会社説明会 QR付きカードを配布（6,000枚配布） 1,800名以上が友達登録採用パッケージのログインIDと連携（初回のみ） 2回目以降はマイページへLINEでログイン登録率：6倍 ※前年度比ログイン率：2倍 ※ID/PWD利用 vs LINE利用

Slide 14

Slide 14 text

コミュニケーション強化によるエンゲージメント • メールや手紙からSNSへ • 休講通知 • 保護者への連絡 • 安否確認

Slide 15

Slide 15 text

慶應義塾様における取り組み • 学内IDとSNS ID（LINE、Facebook）の紐づけ • 一部アプリへのSNS IDでのログイン • SNSへのメッセージ配信 2018/11/19 プレス発表 http://www.ctc-g.co.jp/news/press/20181119a.html

Slide 16

Slide 16 text

2つの話をつなげるとパスワード問題が解ける？ • 入学前は色々とサービス • SNSのフル活用 • 入学後はやっぱりIDとパスワードとメール • 後からSNSを紐づけるにしても一旦はIDとパスワードとメール • 入学前に使っていたSNS IDをそのまま持ち込むことは出来ないか？ • SNSへのメッセージ通知 • SNSログインによりパスワードのいらない世界 • 入学前後の連続性の担保もできるのでPR効果の測定も可能

Slide 17

Slide 17 text

典型的な新入生登録プロセス新入生入試・学生課入学書類の提出書類の確認と学生IDの登録ディレクトリへの ID登録、初期パスワード生成学務システム情報センターディレクトリ学生課 ID、初期パスワード一覧の共有オリエンテーションで ID、初期パスワードの通知初回ログインとパスワード変更

Slide 18

Slide 18 text

初期パスワード問題新入生入試・学生課入学書類の提出書類の確認と学生IDの登録ディレクトリへの ID登録、初期パスワード生成学務システム情報センターディレクトリ学生課 ID、初期パスワード一覧の共有オリエンテーションで ID、初期パスワードの通知初回ログインとパスワード変更物理（オフライン）の世界デジタル（オンライン）の世界物理とデジタルの橋渡しをするのにパスワードは都合が良い

Slide 19

Slide 19 text

BYOIDによる初期パスワード問題の解決新入生 SNSでログイン自動確認とディレクトリへのID登録（パスワード無）学務システムディレクトリ組織アプリへのアクセスが可能身元確認書類のオンライン提出

Slide 20

Slide 20 text

KYC：身元保証元としての教育機関の価値 • 教育機関 as Identity Provider • 価値の提供 • 身元の保証 • 在籍している／していたことが価値となる KYC：Know Your Customer。身元確認

Slide 21

Slide 21 text

BlockchainはKYC電子化の銀の弾となるのか？ • 各所で絶賛実証実験 • USのケース（EIC） • UKのケース（EIC） • 経産省の取り組み

Slide 22

Slide 22 text

US事例）学位の電子化と採用時身元確認の簡素化 European Identity & Cloud Conference 2018より

Slide 23

Slide 23 text

UK事例）研修医の身元確認の簡素化 European Identity & Cloud Conference 2018より控えめに見積もってもドクターは年間25,000人日かけて 55,000人の研修医の身元確認を行っている。

Slide 24

Slide 24 text

MITの事例をベースに日本でも（経産省） http://news.mit.edu/2017/mit-debuts-secure-digital-diploma- using-bitcoin-blockchain-technology-1017 https://www.nikkei.com/article/DGXMZO32259480W8A620C 1EE8000/

Slide 25

Slide 25 text

本当にBlockchainはKYCに向いているのか？ • Blockchainの特徴 • インフラは分散 • No interconnect • Shared nothing • No trust（でも良い） • データは集中 • 系の中に閉じている • Immutabilityが高い • 管理者や少数のノードが悪意を持って値の改竄をしにくい • 系の中でデータが生成され、系から出ない限りは割と安全

Slide 26

Slide 26 text

そもそもBlockchainが向いている用途は？ • 集中的にインフラを管理する主体がいない • 信じられるオーソリティがいない • 各ノードの管理をしている主体がお互いを信頼できない • エンドポイントに高い可用性が求められる • 分散ノードで運営される • ノード間での同期が不要（aBFT/Asynchronous Byzantine Fault Tolerance) • 系からデータが出ない（出ると意味がない）

Slide 27

Slide 27 text

Identityの世界への応用？同一の系に属する信頼関係のない主体間での情報の共有（誰かが悪意を持ってデータを改ざんしている可能性がある状態）企業教育機関個人のデバイス Blockchain ID情報

Slide 28

Slide 28 text

考えるべき課題：Blockchain上に何を乗せる？ • プライバシーの観点：参加ノードからデータ可視性 • 利用用途・利用箇所の観点：系の外で生成・利用されるかアイデンティティ情報は載せるデータとして適切なのか？ • プライバシーの観点では向かない • 系の外で生成される、系の外に出てから使われる系のスコープで解決できるか？パブリック公的証明という意味ではアリ、プライバシーの観点で難ありコンソーシアム参加主体でしか運用出来ないプライベートもはやブロックチェーンの意味はない？

Slide 29

Slide 29 text

アイデンティティの前提 • 系の外で生成される • 自分で生成する属性 • 他の主体で生成・付与される属性 • 他者との関係性で生成される属性 • 系の外で利用される • アプリケーション（利用主体）がないと意味がない • 認証 • 認可 • プロファイル表示 • 全てのアプリケーションが系に直接参加するのは非現実的

Slide 30

Slide 30 text

Identity on Blockchainは何に使えるのか？用途 Immutabilityの要求全員から見えて問題ないか系内でクローズして問題ないか Blockchainに向いているかアイデンティティ情報なし問題あり問題あり（広く使いたい） × 身元確認情報（証明記録）あり問題なし？（プライバシー？）問題あり（広く使いたい） △ 番外編）セッション管理（SSO、SLO） * Hashgraphの事例ありあり問題なし問題ない（SSO,SLO 範囲） ○ （Private or コンソーシアム）アイデンティティそのものを載せるのは疑問 Immutabilityを担保したいのはトランザクション記録のみ

Slide 31

Slide 31 text

結局PKI+Blockchain？データの真正性はPKI、証明記録だけを Blockchain上で管理して透明性の担保？企業教育機関個人のデバイス署名付データ署名付データ署名付データ Blockchain 証明記録

Slide 32

Slide 32 text

MITのケースも結局はトランザクション記録？ Anatomy of a digital diploma: The presentation layer has a customized image of a traditional MIT diploma; the content layer contains code with the student’s public key and generates the image; and the receipt layer proves the transaction has been recorded on the blockchain.

Slide 33

Slide 33 text

系を跨ぐ：DIDとUniversal Resolver • DID（Decentralized Identifier）：W3Cが標準化を推進 • DID • did:{method}:{method-specific identifier} ⇒Sovrinの場合の例：did:sov:12345679 • DID Document（メタデータ） • 公開鍵、エンドポイント、Proof、timespamp等 • Universal Resolver • DIDからDID Documentの解決を行う（DNS的な存在）

Slide 34

Slide 34 text

https://uniresolver.io/

Slide 35

Slide 35 text

非Blockchainでの取り組み：LIGHTest • DNSベースで信頼を表現 • ドメイン名：エンティティ • PTRレコード：トラスト・リスト • SMIMEAレコード：Verify条件 • ドキュメントのトランザクションが信頼できるかどうかの検証 • ドキュメント自体の真正性はデジタル署名

Slide 36

Slide 36 text

UNHCR DAPIプログラムでのPoC • 難民支援プログラム。大学に行きたい難民の申請プロセスにおける文書の確認と承認にLIGHTestのトラスト基盤の利用 • 文書のデジタル化と不正や喪失を防止しアクセス性を向上、UNHCR、大学、難民の間での転送を簡素化する • https://www.unhcr.org/blogs/new-digital-solutions-refugees- education/

Slide 37

Slide 37 text

文書のデジタル化とトラストリストとの統合難民が対象文書を DAFIプログラムへ持ち込み DAFIとUNHCR職員による確認とデジタル化（電子署名の付与） UNHCRのトラスト・スキームと統合され検証可能な状態へ

Slide 38

Slide 38 text

文書受け入れ側（教育機関）での検証 UNHCRで受け入れられ確認された学位を信頼する、というポリシーにより自動承認される

Slide 39

Slide 39 text

そもそも何を担保したかったのか担保対象 Blockchainベース DNSベース（LIGHTest）文書の真正性デジタル署名デジタル署名トランザクションの真正性コンセンサスアルゴリズム透明性の担保による検証 DNS上に構築された信頼ポリシー事前定義された信頼リスト DNSクエリで検証発行主体の喪失/ねつ造への対策チェーンによるImmutability の担保 Delegationの仕組み

Slide 40

Slide 40 text

作ってみた（CTC B2C ID基盤＋uPort）ここを電子化した学位や学生証へ置換えれば使えるが・・・

Slide 41

Slide 41 text

まとめ • 教育機関におけるアイデンティティ管理も攻めの方向へ • 呼び込み：教育機関 as RP • 在籍による価値の付与（身元保証）：教育機関 as IdP • 呼び込みにはB2C IDの手法が活用できる • オープンキャンパスへのSNSの活用 • コミュニケーション改善へのSNSの活用 • KYCの電子化の様々な検討やPoCが行われている • Blockchainベース、DNSベース • 経済的合理性は微妙？