FIDO Alliance
(ファイドアライアンス)

FIDO認証

「FIDO認証」とはパスワードに依存しない認証方式です。ハッキングによる侵害の80%以上はパスワードが原因とも言われ、近年パスワードの危険性が明らかになってきました。 セキュリティ対策のため、SMSや電子メールコードを使用した二段階認証が普及しつつありますが、これらの方法はフィッシング対策として十分ではありません。フィッシング等のセキュリティ対策としては、FIDO認証が有効です。

従来のパスワード認証

FIDO認証

パスワード認証などの従来型の認証方法とFIDO認証との大きな違いは「利用者とサーバーで秘密を共有しない」ことです。 従来型の認証の場合、事前にパスワードなどの秘密の情報をサーバーに保存し、認証時には利用者は本人性の検証のため秘密の情報をサーバーに送信し、サーバーはその秘密の情報もとに本人性の検証を行います。 FIDO認証ではサーバーに秘密の情報を保存せず、認証時は認証器と呼ばれる機器で行った「本人性の検証結果」のみをサーバーに送信します。

また認証器による本人性の検証は「指紋をかざす」や「カメラに顔を写す」、「PINを入力」などシンプルな動作で行われます。 さらにサーバーに送信される「本人性の検証結果」は認証器で厳重に保護されている秘密鍵で署名されており、サーバーは事前に登録した認証器の公開鍵で検証することで認証を行います。 認証に必要な秘密の情報（認証資格情報）がネットワーク上に流れず、またサーバーにも保存されないため、これらの情報を窃取することを目的とした攻撃に対して強い耐性がある認証方式です。 FIDO Allianceでは利用シーンや用途に合わせて、以下の３つの仕様を公開しています。