車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール

Digital Identity Standards and their
Goals
Nat Sakimura, Chairman, OpenID
Foundation
@_nat | www.sakimura.org
Do we have a round
wheel yet?

デジタル・アイデンティティの標準
化動向とそのゴール
米国OpenID財団理事長
ナット・サキムラ
@_nat | www.sakimura.org
車輪は丸くなったか？

なぜ人は車輪の再発明をする
のか？

本日の登場人物
Ian Glazer
Senior Director, Identity
Salesforce Identity
@iglazer
今年の３月まで、ガートナー
のアナリストだった。今日の
話のあらすじを作った人。
ラーメンLOVE 元米国大統領サイバー
セキュリティ特別補佐官
ハワード・A.シュミット
エクスジェン・ネットワークス
株式会社
代表取締役江川淳一氏
謎の外タレ？
何億人もが使っている標準を
色々書いているらしい。
ラーメンLOVE

デジタル・アイデンティティの標準化分野
認証（Authentication)
認可 (Authorization)
属性 (Attributes)
プロビジョニング (Provisioning)

Real
Name
Professional
qualification
department
Geo-location
Employee
number
Entity Identity
Resource
Authentication PEP
PDP
PAP
Boss Metadata
Log Log
Application
Accounts
Account Provisioning
e.g., OpenID/SAML
e.g., SCIM / SPML
認証
認可
プロビジョニング
属性

© 2013 by Nat Sakimura. All rights reserved.
認証 (Authentication)

認証の標準プロトコルは？

認証プロトコルは、十分成熟
している。
最近のWebサービスが要求
するREST+Web API環境では、
OpenID Connectを使うのが
良い。
OpenID Connectは、まだ、プ
ロファイルなどを開発中だが、
十分使える。
もしそれでダメならSAMLを使
えば良い。

今すぐ使え。
すぐ使え。
日本じゃまさか、
パスワード共有なんか
してないよね。

2種類のパスワード共有
サイトA
サイトB
サイトC
alice@example.com
p@$$w0Rd
alice@example.com
p@$$w0Rd
alice@example.com
p@$$w0Rd
サイトA
サイトB
サイトC
alice@example.com
p@$$w0Rd
インターネット規模でこうなる？？？

2種類のパスワード共有
サイトA
サイトB
サイトC
alice@example.com
p@$$w0Rdalice@example.com
p@$$w0Rd

サイトごとに異なるパスワード？
サイトA
サイトB
サイトC
alice@example.com
p@$$w0Rd1
alice@example.com
p@$$w0Rd2
alice@example.com
p@$$w0Rd3
人間は何個パスワードを覚えられるのか？

パスワード金庫で万事解決？！
サイトA
サイトB
サイトC
alice@example.com
p@$$w0Rd1
alice@example.com
p@$$w0Rd2
alice@example.com
p@$$w0Rd3
パスワード変更とかどうするの？

今現在、４００個以上パスワード
あるんですけど…
Token
Inside

400個アプリ
入れるんすか？

どうしてみんな、そんなにユーザのこ
とを無視するの？

セキュリティの専門
家って、人の能力の
限界とか、行動特
性を考えない人が
多くて困る。
元米国大統領サイバーセキュリティ特別補佐
官ハワード・A.シュミット

どうしてSSOしないの？
…だって、安いんだもの
…だって、ニーズが無いんだもの
by サービス・プロバイダ

パスワードベースのシ
ステムを作るのは、公
害垂れ流しの工場を作
るのと一緒なんだよね。
安く作れるような気が
するけど、それは他人
にコストを押し付けてる
だけ。

みんな自主的にやら
ないんだったら、
パスワード税をかけ
るか、パスワード総
量規制をかけるかが、
外部性制御の定石
だな。

そんな規制が来る前に…

今すぐ使え。
すぐ使え。

認可 (Authorization)

車輪に例えると、数度
の再発明を経て、認
証は十分丸い、よく転
がる車輪になったん
だよね。

これに対して、
認可に使われ
るXACMLは…

詰め込みすぎで、パンクした状態。

単純化と、
REST+JSON化
が必要だね。

その意味で、
OAuthは良いの
だけどね。特に、
認可決定の伝
達という意味で
は。

でも、その認可
内容を表す
Scopeは標準化
されてないしね。

そこのところは
UMAが役に立
つんだろうけど、
まだ標準化に
は時間がかか
るよね。

属性 (Attributes)

属性は、認可決定・
アクセス許可のため
のキーファクターだ
ね。
たとえば、どこからア
クセスしてきている
かとか、とても重要。
おさらいすると…

Real
Name
Professional
qualification
department
Geo-location
Employee
number
Entity Identity
Resource
Authentication PEP
PDP
PAP
Boss Metadata
Log Log
Application
Accounts
Account Provisioning
e.g., OpenID/SAML
e.g., SCIM / SPML
認証
認可
プロビジョニング
属性

でも、その属性ス
キーマの決定
版って、無いんだ
よね。
決まってるのは、
“name”:”value”
ペアをつかうとい
うことくらい*。
* Graph APIも、OpenID Connect UserInfoも、SCIMもそうしている。

SCIMは、エン
タープライズでも
コンシューマでも
使えるから、これ
を中心に考えて
行くんだろうね。

OpenID Connect も、
SCIMがキャッチアッ
プしてくること前提で、
あえて細かいスキー
マは決めなかったん
だよね。

プロビジョニング (Provisioning)

v.2は、
ちっとも丸くな
い車輪だね。

DSMLは丸かっ
たけど、今更役
に立たないね。

やっぱ、デファ
クトは独自
CSVでしょ。

それじゃ、自動
でつながらな
いでしょ！

やっぱ、
かね。
Salesforceも
Oracleもサポー
トしてるしね。み
んなサポートしよ
うね！
まだ、時間かか
るけどね。

みなで、SCIMサ
ポートを要求しない
と、認証の二の舞い
になるから、今から
要求していこうね。

将来に向けて…

今、デジタル・アイ
デンティティを取り
巻く環境は激変し
ているね。従来型
のエンタープライズ
ID管理が

だったのに対して、

非常に多数の人が

Reports to
Reports toReports to
Works with
お互いに関係性を持ち

(ガートナー推計）

(シスコ推計）

Reports to
Reports toReports to
Owns
Owns
Owns
Sends data to
Gets data from
Owns
Paired with
Uses
Controls
Owns
Uses
Uses
Constrains cho
ice of
Sends data to
Ridden in
Ridden in
Works with
関係性を持っていく

そういう時代がすぐ
そこまで来てるね。
エクスペリエンスの
創生。
IRM*とも言うね。
*IRM – Identity Relationship Management

だね。一方では、そ
うしたもののセキュリ
ティとプライバシーを
ちゃんとやっていくこ
との重要性も訴えて
いかないとね。

たとえば、電力供給
が99.5%なんてとき
に、「せーの」でイン
ターネット家電をリ
モートONにされたり
したら、一斉停電に
なる。
安全保証問題だね。

IoT屋さんには、そ
のあたり気にしてい
ない人が多くて、
National Critical
Infrastructure の保
護の観点からすごく
気になってる。
元米国大統領サイバーセキュリティ特別補佐
官ハワード・A.シュミット

組込み機器とかで使い
やすい、省電力な認
証・認可の開発は急務
だね。
あと、アップデートされ
ないコンピュータ問題も
大きいね。
ハートブリードだって未
だに…。これがIoTで拡
大すると…。

標準を作るだけで
満足しちゃいけな
いね。それを使って、
何をするかが問題
だね。
今、われわれのレ
ベルで出来るのは
…

1. 標準の採用

標準を使わないという
ことは、車輪の再発
明をしてるはずだから
ね。
もし、現在の標準が
間尺に合わないなら、
ユースケースを標準
化団体に提出して「標
準化」すれば良い。

大阪では、来週も経産
省主催の関連シンポジ
ウムがあるね。
そういうところに行って
勉強するところからス
タートするのも良いね。

詳細： http://www.jipdec.or.jp/event/20140926_trustframework.html

2. 他の人が採用するのを助ける

OpenIDとSAMLを使う
SDKつくって、SCIMや
OAuthのオープンソー
ス実装作って、まず
自社の開発者を助け
なさい。そして、コミュ
ニティを助けなさい。

3. 標準の採用を要求する

技術提供社に
サービス・プロバイダ
に
自社の開発者に
標準の採用を要求し
なさい。

Follow: @_nat
http://www.sakimura.org/
Thanks!

車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (7)

Similar to 車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール

Similar to 車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール (20)

More from Nat Sakimura

More from Nat Sakimura (20)

車輪は丸くなったか？~デジタル・アイデンティティの標準化動向とそのゴール

Editor's Notes