Prepared for FINOLAB Members' Meetup 2018-10-11

1. FINOLAB Members’Meetup 2018-10-11
Japan/UK Open Banking and APIs
Summit 2018 TOI
工藤達雄

2. Agenda
• イベントのふりかえり
• UK Open Banking
• Why Authlete?
2

3. 自己紹介
• 工藤達雄 https://www.linkedin.com/in/tatsuokudo
– サン・マイクロシステムズ(1998-2008)
– 野村総合研究所 (2008-2018)
– OpenIDファウンデーション・ジャパン (2013-2014)
– NRIセキュアテクノロジーズ(2014-2018)
– Authlete(2018-)
• VP of Solution Strategy
3

4. イベントのふりかえり

5. 7/24, 25の2日間にわたり、日英におけるオープン
バンキングとAPIのイベントを開催しました
5
7/24:開発者向けワークショップ 7/25:エグゼクティブ向けカンファレンス

6. • 「オープンバンキング」は不可逆的なグローバルトレンド
• 欧州でのPSD2を筆頭に、世界各国金融機関でのAPI公開が進んでいます。その中
でも英国では国策として “OpenBanking” を謳い、銀行に対する義務化や技術標準
の整備を完了しています。
• 国内では改正銀行法をうけて銀行業界でのAPI公開が進展しています。また銀行業
界に続き、クレジットカード・証券・保険などにおいても公開を推進する流れにあ
ります。しかし技術仕様の標準化やエコシステム醸成の点からは、いまだ不十分と
言えます。
• 日本におけるオープンバンキングを加速させるためには、英国の先進事例を参考に
することは非常に有用であると考えられます。
6
開催の背景

7. Core People
• オープンバンキングにか
かる、ビジネスとテクノ
ロジーの第一線の専門家
による講演を通して、最
先端の動向を理解する機
会を提供
Comprehensive
Content
• 金融APIの推進責任者か
ら、実際に動くコードを
書くデベロッパーまで、
すべてのオープンバンキ
ング関係者に向けたコン
テンツを提供
Conversational
Opportunity
• ネットワーキング・イベ
ントによる情報交換・人
材交流の機会を醸成し、
国内外・異業種間のパー
トナーシップ確立を促進
7
開催目的とコンセプト
本イベントでは英国Open Bankingを中心とする国内外の最新動向を、ビジネ
スとテクノロジーの両面から参加者と共有し、今後のオープンバンキング・
ムーブメント加速に資することを目的とします 。

8. • 英国Open Bankingを日本に広め、日英のマーケットの調和を図ることにより、
両国におけるビジネス機会の増大と利用者体験の向上に結びつける
8
オープンバンキング・エコシステムの拡大に向けて
オープンバンキング
のプラクティス提供
日本市場への
参入機会提供
英国 日本
• 先行事例を取り込むことにより、日本
国内のオープンバンキングを加速させ
ることができる
• 英国Fintech事業者の先進的なサービスが日
本でも利用可能に
• 英国市場への参入容易化による日本Fintech
事業者のビジネス機会拡大
• 先行事例を広めることにより、英国
オープンバンキングのエコシステムを
日本に拡大することができる
• 英国Fintech事業者の日本市場参入
• 日本Fintech事業者の英国誘致促進
技術仕様・トラストフレームワークの共通化による「日英オープンバンキング・エコシステム」

9. 9
プログラム Day 1: Financial APIs Workshop
API提供・利用に携る開発者向けにOAuth/OpenID Connectを中心とする “金融API” の最前線を紹介
時刻 演題 内容 登壇者（敬称略）
13:00~13:30 開場
13:30~13:40 開会挨拶 主催（FinTechLabs.io）・共催（FINOLAB）・協賛（三菱地所）挨拶 • TBD
13:40~14:40 オープンバンキングAPIの現在 • オープンバンキングAPIの要件 (30 min) by Ralph Bragg
• a single API standard
• more granular requirements
• some example end customer use cases
• 既存の銀行API仕様の比較 (30 min) by 工藤達雄
• Open Banking UK, Berlin Group, STET, Slovak Banking API Standard, MKB (ハンガリー) etc. を
比較し、各国・各行が、どのような点を考慮してAPIを設計しているか、APIエコシステムをどの
ように盛り上げようとしているか
• Ralph Bragg (Open Banking Implementation Entity)
• 工藤達雄（Authlete）
14:45~15:45 API認可の基礎と応用 • Basics: OAuth, OpenID Connect (30 min) by 川崎貴彦
• API認可とオープン標準
• FAPI and Beyond (30 min) by 崎村夏彦
• 仕様策定者の立場から、Client Authentication, Hybrid, Request Object, CIBA etc. について
• 川崎貴彦（Authlete）
• 崎村夏彦（OpenID Foundation）
15:45~16:00 休憩
16:00~17:30 API認可のプラクティス • UK Open Banking "Identity Product" Internals (20 min) by Mark Haine
• OBIEが運用する Open Banking Directory などの概要
• FAPI をどう実装するか (1): Authleteにおける認可サーバーの実装例 (20 min) by 池田英貴 and Justin
Richer
• クライアント認証、リクエストオブジェクト、双方向TLSなどをどのように実装したか
• FAPI をどう実装するか (2): Moneyhub EnterpriseにおけるAPIクライアントの実装例 (20 min) by
Dave Tonge
• 英国Open BankingにおけるTPP (APIクライアント) の作りかた
• FAPI Part 2をクライアント側にどう実装するか
• Open Banking Directoryへの登録はどのようなものか
• FAPI をどう実装するか (3): 認定スイート提供者の立場から考える、銀行側の実装の勘所 (20 min) by
Joseph Heenan
• Open Banking認定のプロセス
• どういう点でつまずくか
• Mark Haine (Open Banking Implementation Entity)
• Joseph Heenan (FinTechLabs.io)
• 池田英貴 (Authlete)
• Justin Richer (Authlete)
• Dave Tonge (Moneyhub Enterprise)
17:30~18:00 Fintech Startup LT • Financial APIを活用している・活用する予定のFintechスタートアップ数社によるライトニングトーク • MC: 澤山陽平 (500 Startups Japan)
• 畑 加寿也 (justInCase)
• 内山誓一郎 (CreditEngine)
• 尾花政篤 (hokan)
18:00~19:00 ネットワーキング
19:00 終了

10. © 2018 FinTechLabs.io 10
プログラム Day 2: Strategy and Business Conference
経営層、事業責任者、政策立案者向けにオープンバンキング戦略とビジネス動向を紹介
時刻 演題 内容 登壇者（敬称略）
12:30~13:00 開場
13:00~13:10 開会挨拶 主催（FinTechLabs.io）・共催（FINOLAB）・後援（英国大使館）挨拶 TBD
13:10~14:10 英国におけるOpen Bankingの取り
組み
- UK Open Bankingのこれまでとこれから: どのように課題に取り組んで来たか /
他国のオープンバンキング・プログラムに対する優位点 / Open Bankingのフレー
ムワークに基づく英国大手9行（CMA9）の動き (30 min) by Ralph
- 金融機関の立場から: Rev olutのAPI戦略とUK Open Bankingへの期待 (10 min)
by Rishi
- Fintech事業者の立場から: Money hubはどのようにUK Open Bankingエコシステ
ムに対応したか (10 min) by Dav e
- APIセキュリティ・スタートアップの立場から: UK Open Bankingエコシステム
におけるAuthleteのビジネス機会 (10 min) by Taka
• Session Chair: Ali Adnan (FinTechLabs.io)
• Ralph Bragg (Open Banking Implementation Entity )
• Mark Haine (Open Banking Implementation Entity )
• Rishi Stocker (Rev olut)
• Dav e Tonge (Money hub Enterprise)
• 川崎貴彦 (Authlete)
14:15~15:15 日本における銀行APIの現在 • 日本におけるオープンバンキングの概況 (30 min) by 落合孝文
• API公開を進めている銀行の取り組み、APIを利用しているFintech事業者の取
り組み (10 min x 3組)
• 事例1: セブン銀行/マイクロソフト
• 事例2: 楽天銀行 / Crowd Cast
• 事例3: 常陽銀行
• Session Chair: 工藤達雄（Authlete）
• 落合孝文（渥美坂井法律事務所・外国法共同事業、電子決済等代行事業者協
会）
• 廣瀬一海 (Microsof t)、平鹿一久（セブン銀行）
• 星川高志（Crowd Cast）、井上俊博（楽天銀行）
• TBD（常陽銀行）
15:15~15:30 休憩
15:30~16:15 オープンバンキングエコシステム
を醸成するためのテクノロジーと
トラスト
• - Past and Future of Financial-grade APIs: Issues towards Open Banking
ecosy stem and how OpenID Foundation tackles them with Financial-grade
APIs standard (20 min) by Nat
• - Trust Framework in UK Open Banking: Why Trust Framework is important
f or UK Open Banking (15 min) by Mark
• - Conf ormance Test Suite in UK Open Banking (10 min) by Justin
• Session Chair: Joseph Heenan (FinTechLabs.io)
• 崎村夏彦（OpenID Foundation）
• Mark Haine (Open Banking Implementation Entity ) •Justin Richer (Authlete)
• Justin Richer (Authlete)
16:20~16:50 パネルディスカッション：「APIエ
コシステム実現に向けた取り組み
と課題」
• How can an API ecosy stem f ail?
• What are the KPIs of a successf ul OpenBanking sy stem?
• How do y ou ensure end user experience is optimised by all participants?
• モデレーター: 崎村夏彦
• パネリスト: Ralph Bragg, Rishi Stocker, Dav e Tonge, 瀧俊雄（電子決済等代行
事業者協会）
17:00~18:00 ネットワーキング
18:00 終了

11. UK Open Banking

12. オープンバンキング戦略は国ごとに異なる
12Source: The Global Open Banking Snapshot Report
https://blog.thisisbud.com/the-global-open-banking-snapshot-report-2f61d10886cc

13. 日本経済再生本部 未来投資会議 (第19回)
• 成長戦略の方向性（案）
– “フィンテック事業者が家計
管理や資産運用等のサービ
スを提供しやすくするとと
もに金融機関のキャッシュ
レス化を推進するため、金
融機関のAPI 接続の仕様・
フォーマットを標準化する”
13Source: http://www.kantei.go.jp/jp/singi/keizaisaisei/miraitoshi kaigi/dai19/index.html

14. 英国におけるオープンバンキングの取り組み
• 2016年、英国競争・市場庁は、オープン
バンキング推進のための組織として
“Open Banking Implementation Entity”
(OBIE) を創設
• OBIEは英国の大手9行からの出資を受け、
オープンバンキングAPIを策定し、利用促
進のための施策を実施
• ちなみに本イベントではOBIEのRalph
Bragg氏、Mark Haine氏を中心に、同組織
を支援しているFinTechLabs.io社の
Joseph Heenanなど、英国オープンバン
キングの実務の中核メンバーが登壇
14
Source: Banking is Now More Open: Open Banking Update
https://www.slideshare.net/MikeLeszcz/banking-is-now- more-open-open-banking-update

15. UK Open Banking のポイント
1. 「競争・市場庁 (CMA)」
が主導している
15
Source: https://www.flickr.com/photos/cma-gov- uk/

16. UK Open Banking のポイント
2. APIのみならずその周辺も規定している
16
Source: https://openbanking.atlassian.net/wiki/spaces/DZ
API仕様 ガイドラインなど

17. Open Banking UK
• FAPI Part 2
• Client Credentials Grant Type (OAuth 2.0) / OIDC Hybrid
Flow
• Request Object
• Mutual TLS
17
Source: Open Banking Security Profile - Implementer's Draft v1.1.2
https://openbanking.atlassian.net/w iki/spaces/DZ/pages/83919096/Open+Banking+Security+Profile+-+Implementer+s+Draft+v1.1.2

18. OpenID Financial-grade API (FAPI)
18Source: https://www.slideshare.net/fintechlabs-io/fapi-and-beyond
https://www.slideshare.net/fintechlabs-io/open-banking-and-fapi

19. Open Banking UK
口座情報等取得のフロー
1. PSU (Payment Service User) がAISP (Account
Information Service Provider) に情報取得開始を許可
2. AISPがASPSP (Account Servicing Payment Service
Provider) にPOST /account-resource
(Mutual TLS, Client Credentials Grant Type)
3. ASPSPがPISPに “AccountRequestId” を返却
4. AISPがAccountRequestIdを含む Request Objectを生成し
ASPSPに認可リクエスト
（OIDC Hybrid Flow）
5. ASPSPがPSUを認証
6. ASPSPがAISPに認可コードを返却
7. AISPがASPSPに認可コードを送信しアクセストークンを
取得
（Mutual TLS）
8. AISPがアクセストークンを使ってGET /accounts
（Mutual TLS）
19
Source: Account and Transaction API - v2.0.0
https://openbanking.atlassian.net/w iki/spaces/DZ/pages/127009546/Account+and+
Transaction+API+Specification+-+v2.0.0

20. Open Banking UK
決済指示のフロー
1. PSUがPISP (Payment Initiation Service Provider) に決済指示開始を許可
2. PISPがASPSPにPOST /payments
(Mutual TLS, Client Credentials Grant Type)
3. ASPSPがPISPに ”PaymentId” を返却
4. PISPが PaymentId を含む Request Objectを生成し、ASPSPに認可リクエ
スト
（OIDC Hybrid Flow ）
5. ASPSPがPSUを認証
6. ASPSPがPISPに認可コードを返却
7. PISPがASPSPに認可コードを送信しアクセストークンを取得
（Mutual TLS）
8. PISPがアクセストークンを使ってPOST /payment-submissions
（Mutual TLS）
9. Optionally retrieve the status of a payment setup or submission
20
Source: Payment Initiation API - v1.1.0
https://openbanking.atlassian.net/w iki/spaces/DZ/pages/5786479/Payment+Initiation+API+Specification+-+v1.1.0

21. 同意フローの例
Source:
https://www.slideshare.net/fintechlabs-
io/open-banking-lessons-from-the-uk

22. UK Open Banking のポイント
3. “Open Banking Directory”
22
Source: https://www.slideshare.net/fintechlabs-io/open-banking-lessons-from-the-uk

23. Open Banking Directoryとは
• OBIEが運営
• 参加する全ての事業者は自組織の情報をOBディレクトリ
に登録し、API連携を行う際にはこのOBディレクトリの登
録情報を用いて相手方の真正性を確認する
• これにより、APIを提供する側（銀行）と、APIを利用する
側（サードパーティ事業者）とが、OBディレクトリをハ
ブとして、相互に信頼された状態でAPI連携することが可
能となっている
• また技術的にも、OBディレクトリが公開鍵証明書の発行
や各行APIのメタデータ（接続に必要な設定情報）の管理
を行い、サードパーティ事業者が容易に複数行のAPIに接
続していけるような仕組みを備えている
23

24. 銀行とFintech事業者との「トラスト」を仲介
24
Source: https://www.slideshare.net/fintechlabs-io/the- open-banking-identity-pr oduct,
https://www.slideshare.net/fintechl abs-io/the-great-british-api-client-bake-off

25. UK Open Banking のポイント
4. 活発なコミュニティ
25
Source: https://openbanking.atlassian.net/wiki/spaces/DZ/overview
http://signup.openbanki ng.space/

26. コミュニティ内で吊るし上げられる某銀行
26
TPP「某銀行のAPIが動いてない…」 某銀行「APIを活用してモバイルApp公開!」 TPP「😡」
Source: https://github.com/openbankingspace/tpp-issues/issues, https://www.computer worlduk.com/applications/barclays-
launches-open-banking-featur e-for-its-core-mobile-app-3683575/, open-banking Slack

27. TPPはオープンバンキングに賭けている
27
Source: https://internetofbusiness.com/monzo-vans-colina-open-banking/
https://twitter.com/UKOpenBanking/status/1049297812746358785

28. Why Authlete?

29. Authleteとは
29
✓ BaaS (Backend as a Service)として利用可能であり
導入・運用が容易
✓ OAuth 2.0 / OIDC関連仕様を網羅した実装
✓ ユーザーからのフィードバックに基づいて
仕様の先を行く機能群を実装
✓ 関連仕様の専門家集団が設計・運用
OAuth/OIDC実装者の課題洞察から誕生した
「認可サーバ構築用APIサービス」
Grand Prize Winner

30. Authorization Service with Authlete as Backend
3030
Authlete Customer’s EnvironmentAPI Clients
Existing Services
© 2018 Authlete, Inc.
Websites
Mobile
Networked
Devices
Authorization Server
Authorization Decision
User
Authentication
Consent
Management
Entitlement
Management
API Servers / Gateways
/data /f unction /transaction
Authlete
Authorization
BackendAPIs
Authorization
Information
(e.g. Tokens)
Database
Authorization Request
API Access
Authorization Status
Check
OAuth/OIDC Processing Request
Authorization
Frontend
Leveraging existing
services Authorization decision logic with no
dependency on Authlete
Separation of operation
between authorization
server and API servers
Externalizing cumbersome
OAuth/OIDC processing and
token management
/…
OSS components
available via GitHub

31. FAPIをサポート
31

32. Open Banking Security Profileもサポート
32Source https://openbanking.atlassian.net/wiki/spaces/DZ/pages/126321042/Open+Banking+Security+Pr ofile+Conformance

33. まとめ

34. イベントを終えて
• おおむね喜んでもらえてよかった（小並感）
• UK Open Banking の先行感は異常
• Authlete の愛されっぷり
34

35. Resources
• スライド
– https://www.slideshare.net/fintechlabs-io/clipboards/japan-uk-open-banking-and-apis-summit-2018-july-24-2018
– https://www.slideshare.net/fintechlabs-io/clipboards/japan-uk-open-banking-and-apis-summit-2018-july-25-2018
• 記事・ブログ
– Financial APIs Workshop 2018 と Japan/UK Open Banking and APIs Summit 2018参加レポ #fapisum
https://ken5scal.hatenablog.com/entry/2018/08/02/Financial_APIs_Workshop_2018_%E3%81%A8_Japan/UK_Open_
Banking_and_APIs_Summit_2018%E5%8F%82%E5%8A%A0%E3%83%AC%E3%83%9D_%23fapisummit
– 口座情報を「喜んで渡す」人が急増、「オープンバンキング」という新潮流を読む
https://www.sbbit.jp/article/cont1/35389
– 拙稿
https://www.sbbit.jp/subcategory/146 のどこかからたどれるようになるはず（10/15 週）
35

36. Thanks!