FIDO2とは？
認証の仕組みやFIDOとの違い・特徴をわかりやすく解説

インターネットの世界での認証方法は、パスワードだけでなく、生体認証や二要素認証など、多様化してきています。その中でも、最新の認証技術として注目を浴びているのが「FIDO2」です。FIDO2について知っておくことで、より安全なインターネットライフを送ることが可能になるでしょう。
本記事では、FIDO2の基本的な仕組みから、そのメリット・デメリット、普及の背景などをわかりやすく解説します。最新の認証技術を身近に感じていただければ幸いです。

FIDO2とは

FIDO2（ファイド2）とは、パスワードレス認証の普及を推進する業界団体「FIDOアライアンス」が2018年に発表した新しい技術規格です。

これまでの認証方法とは異なり、FIDO2は専用のソフトウェア等を使用せず、指紋認証や顔認証、虹彩認証などの生体情報をオンライン上でやり取りできます。ユーザーはパスワードを覚える必要がなくなり、またパスワードの管理に伴うセキュリティリスクも大幅に減少するのです。

FIDO2は、これまでのパスワード認証の課題点を解決し、より便利で、より安全なインターネット環境を実現するための技術と言えるでしょう。

FIDO2の普及が進む背景

インターネットの世界は日々進化していますが、その一方で、セキュリティの問題も増えています。特に、パスワードによる認証方式は、パスワードの管理が難しく、忘れやすい、破られやすいといった問題を抱えています。また、フィッシング詐欺などにより、ユーザーのパスワードが第三者に知られるリスクもあります。

【パスワードによる認証方式の問題点】

• パスワードの管理が難しく、忘れやすい
• 管理の手間を省くためパスワードを簡単にすると破られやすい
• フィッシング詐欺などによりパスワードが盗まれる危険がある

このような問題を解決するために登場したのがFIDO2です。FIDO2は、パスワードを使わない新しい認証方式で、セキュリティと利便性の両立を実現します。ユーザーがパスワードを覚える必要がなくなるため、パスワード管理の手間が省け、またパスワードが漏洩するリスクもなくなります。このようなメリットから、FIDO2の普及が進んでいるのです。

FIDO2の仕組み

FIDO2の仕組みは、主に公開鍵暗号を使用した認証と、ユーザーが実際に所持しているデバイスを確認する二要素認証から成り立っています。これにより、パスワードを使わずに安全に認証することが可能となるのです。FIDO2を構成する要素と規格について以下で詳しく見ていきましょう。

FIDO2とパスキーとの関係性

FIDO2の中の重要な技術に「パスキー」があります。パスキーとは、デバイス間でユーザーの認証情報を安全に共有する技術です。たとえば、スマートフォンで認証を行った後、その情報を利用してタブレットやパソコンでもログインが可能になるというわけです。

従来のFIDO認証では認証に使う秘密鍵をデバイスごとに生成していました。したがってデバイスの紛失や機種変更により秘密鍵を生成し直す必要がありました。

FIDO2のパスキーの仕組みは従来のFIDO認証と異なり、公開鍵と秘密鍵のペアを使用しながらも、一部の鍵情報を「同期鍵」としてクラウド上で管理し、デバイス間での資格情報の共有を可能にします。これにより、ユーザーが新しいデバイスに移行した際に再登録の手間を省き、継続してFIDO2認証を利用できるようになります。

構成要素

FIDO2の構成要素としては、大きく分けて「クライアント」「サーバー」「FIDOサーバー」「認証器（Authenticator）」の4つがあります。それぞれの要素の内容は以下の通りです。

要素	内容
クライアント	ユーザーが直接操作するデバイスを指す。スマートフォンやパソコンなど。
サーバー	ユーザーがアクセスするWebサイトやアプリケーションをホスティングするコンピュータ。認証情報の検証や管理を実行。
FIDOサーバー	FIDOプロトコルに準拠した認証を行うためのサーバー。認証器からの認証情報を検証し、ホスティングサーバーに結果を送信する。
認証器（Authenticator）	ユーザーの身元を確認するためにクライアントに付随しているデバイスやソフトウェア。生体認証やセキュリティキーなど。

使用する規格

FIDO2で使われる主な規格は、WebAuthnとCTAPの2つです。

一方、CTAP（Client to Authenticator Protocol）は、ユーザーのデバイスと認証器（セキュリティキーなど）との間で情報をやり取りするための規格です。これにより、スマートフォンやパソコンなどのデバイスから認証器への命令を送信し、認証器からの応答をデバイスに戻すことが可能になります。これら2つの規格が連携することで、FIDO2の安全な認証が実現されています。

規格	内容
WebAuthn	ウェブブラウザでの認証をするための規格。ユーザーとウェブサイトの間で安全な認証を行うためのAPIを提供し、パスワードなしでログインできる。
CTAP	ユーザーのデバイスと認証器（セキュリティキーなど）との間で情報をやり取りするための規格。スマートフォンやパソコンなどのデバイスから認証器への命令を送信し、認証器からの応答をデバイスに返す。

FIDO2の認証フロー

FIDO2の認証フローは、利用者の使いやすさとセキュリティを両立させたシンプルな流れとなっています。

【FIDO2の認証手順】

• ユーザーがクライアントからログインを要求
• サーバーにてチャレンジコードを生成し、クライアントに送信
• クライアント側で秘密鍵を使ってチャレンジコードに署名、サーバーに送信
• サーバーは公開鍵を使って手順3の署名を検証
• サーバーは手順4が正しければログインを許可

まず、ユーザーがサービスにログインしようとすると、サーバーでチャレンジコードと呼ばれるランダムな文字列が生成され、クライアントに送信されます。デバイスはこれを受け取り、秘密鍵を使って署名を行い、サーバーに送り返します。サーバーは公開鍵を使って署名を検証し、正しい署名であればログインを許可します。

この一連の流れは、ユーザーにとってはパスワードを入力するだけの簡単な操作で完了します。また、秘密鍵はユーザーのデバイス内に保存されるため、外部からの不正アクセスを防ぐことができます。これにより、FIDO2はセキュリティと利便性を高める認証フローを実現しています。

FIDO UAF・U2Fとの違い

FIDO2とFIDO UAF・U2Fの間には、いくつか重要な違いがあります。FIDO2はパスワード不要で、なおかつ生体情報やPINコードなどによる認証を行うため、専用デバイスも不要です。

FIDO UAFはパスワード不要で生体認証によるログインを実現します。専用デバイスは不要で、登録済みの端末で認証を行います。FIDO U2Fはパスワードが必要ですが、セキュリティ強化のために専用デバイス（セキュリティキー）を併用します。

種類	専用のデバイス	パスワード
FIDO2	不要	不要
FIDO UAF	必要	不要
FIDO U2F	必要	必要

FIDO2の対応ブラウザ

FIDO2が対応しているブラウザは、Google Chrome、Mozilla Firefox、Microsoft Edge、そしてAppleのSafariです。これらの大手ブラウザがFIDO2をサポートしているため、多くのユーザーがパスワードレス認証を利用できる環境が整っています。

しかし、すべてのブラウザがFIDO2に対応しているわけではなく、一部の古いバージョンやマイナーなブラウザでは対応していない場合があります。例えば、Internet ExplorerはFIDO2に対応していません。これらのブラウザをお使いの方は、FIDO2を利用するためにはブラウザのアップデートや切り替えが必要となります。

対応ブラウザ	非対応のブラウザ
Google Chrome Mozilla Firefox Edge Safari	Internet Explorer

FIDO2の対応サービス

現在、FIDO2には対応したサービスは増えてきています。例えばGoogle、Yahoo! JAPAN、Dropbox、Facebookなどの大手サービスはFIDO2に対応しています。

【主な対応サービス】

• Google
• Yahoo! JAPAN
• Dropbox
• Facebook

これらのサービスは、FIDO2をいち早く導入し、より安全で便利なユーザー体験を提供しました。

例えば、Yahoo! JAPANでは、FIDO2対応のデバイスを利用することで、パスワードを使わずにログインすることが可能になりました。これでパスワードをいちいち覚える必要がなくなり、便利に使えます。また、FIDO2により、なりすましやフィッシング攻撃からユーザーを守れるため、セキュリティ面でも大きなメリットがあります。

FIDO2を利用するメリット

FIDO2を利用するメリットとして、以下の2つが挙げられます。

【FIDO2を利用する主なメリット】

• なりすまし等のリスクを回避できる
• サーバーから情報漏洩するリスクがない

ここからはそれぞれのメリットについて詳しく見ていきましょう。

なりすまし等のリスクを回避できる

FIDO2を利用する一つの大きなメリットとして、なりすましやフィッシング攻撃からユーザーを守る機能があります。これは、FIDO2がパスワードを一切使用しない認証方式を採用しているからです。

パスワードを使用する従来の認証方式では、パスワードが第三者に知られることでなりすましが可能になります。しかしFIDO2では、利用者が所有するデバイスと生体認証やPINなどの情報を組み合わせて認証を行うため、なりすましを可能な限り防ぐことができます。

さらに、認証情報はサービスごとに生成され、それぞれが独立しているため、一つのサービスで問題が発生しても他のサービスに影響を及ぼすことはありません。これにより、ユーザーは安心してオンラインサービスを利用することが可能となるのです。

サーバーから情報漏洩するリスクがない

FIDO2が提供するもう一つの大きなメリットは、サーバーからの情報漏洩のリスクが非常に低いという点です。これはFIDO2の特性として、認証情報がユーザーのデバイス内部で完結し、サーバーには公開鍵のみが保存されるからです。

つまり、パスワードや秘密鍵がサーバーに保存されないため、サーバーが攻撃を受けてもユーザーの認証情報が漏洩することはありません。

さらに、公開鍵だけではユーザーの身元を証明することはできないため、万が一公開鍵が第三者に知られたとしても、その情報だけではなりすましを行うことは不可能です。このように、FIDO2はユーザーのデバイス内に認証情報を保持することで、情報漏洩のリスクを大幅に減らすことができます。

FIDO2にデメリットはあるか

FIDO2にもデメリットは存在します。まず一つ目として、全てのデバイスやブラウザがFIDO2に対応していないという現状が挙げられます。これにより、特定のデバイスやブラウザを使用しているユーザーはFIDO2を利用できない可能性があります。また、二つ目のデメリットとしては、認証デバイスを必要とするため、それを紛失した場合や故障した場合にはログインが困難になるという問題があります。

これらの問題に対する対策としては、FIDO2対応のデバイスやブラウザを増やすこと、バックアップとしてパスワード認証など他の認証方法を併用することなどが考えられます。

しかし、これらのデメリットを上回る利点がFIDO2にはありますので、セキュリティ強化のためにも積極的な導入を検討する価値は十分にあると言えるでしょう。

おわりに

FIDO2の導入により、パスワードレスな認証が可能となり、セキュリティの向上だけでなく、ユーザー体験も大幅に改善されました。しかし、全てのブラウザやサービスがFIDO2に対応しているわけではないため、現状ではまだ一部のユーザーにしか恩恵が及んでいないのが現状です。また、FIDO2を導入するためには、ハードウェアの準備やシステムの更新が必要であり、これがデメリットとなることもあります。しかし、その労力をかける価値は十分にあると言えるでしょう。パスワードの管理やリセットから解放され、セキュリティの向上を実現するFIDO2は、これからのインターネット社会においてますます重要な役割を果たしていくことでしょう。