IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15
3 likes2,193 views
OpenID BizDay #15 講演資料 IDA,VC,DID関連仕様 最新情報
More Related Content
What's hot (20)
Similar to IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15 (20)
More from OpenID Foundation Japan (20)
Recently uploaded (15)
IDA,VC,DID関連仕様 最新情報 - OpenID BizDay #15
- 1. 1 Copyright ? 2023, OpenIDファウンデーションジャパン, All Rights Reserved
- 2. 今?はこれだけ覚えて帰ってください。 ?IDA: OpenID Connect for Identity Assurance ? OpenID Connectの仕組みを使い、本?確認済みの ID情報を連携するための仕様 ? 本?確認プロセスに関するメタデータを定義 ?OpenID4VC: VC/DID関連3仕様の俗称 ? SIOPv2: OpenID Connect(OIDC)の既存仕様を拡張し、 DIDやhttps型のアプリ連携やクラウドウォレットに対応 ? OpenID for VP: VC/VPを提?するためのOAuth2.0の拡張 新たにVPトークンを定義 ? OpenID for VC Issuance: VCを発?するためのOAuth2.0の拡 張。QRコードによる認可コードの連携が可能
- 3. ??紹介 ? ?岩井 航介/Kosuke Koiwai ? 2017年より KDDI株式会社でID/認証関係等を担当 ? 2020年より OpenID Foundation Board Member ? eKYC-IDA仕様の共著者、FAPI1.0仕様の貢献者 ? 2022年より OpenIDファウンデーション?ジャパン KYC WGリーダ ? その他、FIDO Alliance, W3C でも標準化活動に参画中。 ? KDDI は2015年より OpenID Foundation の Sustaining Corporate Sponsor として活動 https://openid.net/foundation/leadership/ https://news.kddi.com/kddi/corporate/newsrelease/2015/11/10/1444.html
- 4. 認証関連仕様の外観 ? OAuth2.0をベースに、あらゆる仕様が策定されている。 ? Extension(拡張): 新たなユースケースのために既存の仕様にないものを追加する ? Profile(プロファイル): 仕様の範囲内で、特定のユースケースのために利?法（設定 値等）を制限するもの ? ユースケースに合わせて、組み合わせて利?する。 OAuth2.0 API Authorization Framework (RFC6749) OpenID Connect Core (OIDC) Financial-grade API (FAPI) eKYC-IDA OpenID for Veri?able Presentations Self-issued OP v2 OpenID for VC Issuance
- 5. OpenID Connect とは ? 認証連携のためのOAuth2.0の拡張仕様 ?分のSNSアカウント 占い?○○診断アプリ ?分の銀?アカウント 家計簿サービス ログイン ?分 ログイン ログイン
- 6. OAuth2.0 を認証に使ってはいけない ? OAuth2.0で得られるのは特定のAPIを使う権限であり、 本?であることの証明ではない 占いサイト?○○診断 ?分のSNSプロフィール ?分の銀?残? 認可 （権限委譲） アクセス 不正アクセス ?分
- 7. OpenID Connect (OIDC) とは ? API「認可」フレームワークである OAuth2.0 を拡張し、 「認証イベント」を連携できるようにしたもの ? 「パスワード」を受け渡すものではない。 ? OAuth2.0, OIDC, JWxの?連の仕様は、2007-2015にかけて並?して 開発された。 ? OAuth2.0 のみを利?して「認証連携」をすることは推奨されない。 （過去に?規模なセキュリティ事案が発?している） ? OAuthでは「特定のサービス(API)を使う権限」を委譲するが、それだけでは 本?の認証とはいえない。（権限移譲された他者が本?を詐称できてしまう 場合がある。） ? OpenID Connectは、「特定の?物が、特定のサービスにログインするため、 特定の認証?法を?いてこの時間に認証した」という情報を「IDトークン」 を?いて連携する。 https://www.sakimura.org/2012/02/1487/ https://qiita.com/TakahikoKawasaki/items/498ca08bbfcc341691fe https://qiita.com/TakahikoKawasaki/items/8f0e422c7edd2d220e06
- 8. IDA: OpenID Connect for Identity Assurance OpenID Connectの仕組みを使い、本?確認済みの ID情報を連携するための仕様
- 9. OpenID Connect の課題 ? 「?名」「メルアド」「?年??」「住所」など、様々な個? 情報を連携できる??、その情報の確からしさは不明 ? SNSプロフィールで20歳以上と書いてあっても、それを根拠に お酒を売っていいわけではない ?そこで、 IDA が爆誕
- 10. IDA とは ? 本?確認済みのID情報(Identity Assurance) を連携するための、 OpenID Connect の拡張仕様（Extension） ? 現在 4th Implementer?s Draft。 ? OpenID Connectでサポートされている各種個?情報に対して、 「誰が」「どのように」「いつ」「何を元に」確認したかを、 メタデータとして付与することができる。 ? Verified Claims というオブジェクトを新たに定義 ? 共著者として?岩井も名を連ねる ? 詳細は次世代KYC（作?さん）のセッションで紹介済み
- 11. IDA: さらなる拡張 ? Selective Abort/Omit ? 例えば「?本の犯収法に基づかない結果であれば不要」など、 結果を受領する条件を規定することができる ? ?数料を徴求するようなビジネスモデルで有? ? Claims Transformation ? 「20歳以上」「東京都か千葉県在住かどうか」など、個?情報本体ではな く、その条件をTrue/Falseで返却する ? いずれも、Advanced Syntax for Claimsという新たな仕様として 策定中 ? OIDC単体に対する拡張としても利?可能だが、IDAと併?するとさらに有?
- 12. OpenID4VC: OpenID for Veri?able Credentials OpenID ConnectやそのベースであるOAuth2.0の仕組みを使い、 DIDやVerifiable Credentialを連携するための関連3仕様の俗称 https://openid.net/openid4vc/
- 13. DID: Decentralized Identifier (分散型識別?) ? 特定の事業者に依存しない識別?(Identi?er) ? Identity(属性の集合)ではなく、Identi?er(識別?) ? OpenID Connectでいうところの Sub値に該当 ? W3Cにより標準化(did:method:xxxx) ? DIDと紐つ?く鍵ペアを?成、秘密鍵へのアクセス=「所有」 ? 識別?に紐つ?くDID Documentが分散台帳上等で公開される ? DIDに紐つ?く秘密鍵で署名したデータをDID Document上の公 開鍵で検証する ことでDIDの「持ち主」が発?したデータであ ることを検証できる
- 14. VC: Verifiable Credentials (検証可能なクレデンシャル） ? 検証可能なデータモデル ? Issuerから発?されたVCをユーザはHolder(Wallet)に保管。 Veri?erに提?する時は、複数のVCを取捨選択した VP (Veri?able Presentation)として提?する。 ? DIDと組み合わせて利?されることが多いが、必須ではない。 ? 発?者(Issuer)のDIDに紐つ?く秘密鍵によりデジタル署名される ? 発?者のDID Documentに含まれる公開鍵を使って検証可能 VCの発? VPの提?
- 15. Credential の定義の違い ? OpenID Connect Coreと、W3C Verifiable Credentialsで、 "Credential”の定義が異なる ? OIDC: アイデンティティやその他のリソースを使う権利の証明 ? W3C: 同?エンティティによって?されたクレーム(属性)のセット
- 16. 2つのVC ? W3C の策定する Veri?able Credentialsと eKYC-IDA仕様で連携す るVeri?ed Claimsとの間に直接的な互換性はない。 ? Veri?ed Claimsは、OpenID Connect仕様の IDトークンの中に格納 されるため、IDトークンとして署名され、検証可能。 ? Veri?ed Claimsは、属性情報とそのメタデータの記載?法も含め標 準化されている??、Veri?able Credentialsの中?の標準化はこれ から。（ワクチン証明書のFHIRが?例） ? Veri?able Credentials はそれ?体が署名され、検証可能。 ? Veri?able Credentials を発?したり、関係者間で授受するための プロトコルは、複数提案されており、まだデファクトが存在しな い。OpenID Foundation が策定している仕様案もそのうちの?つ。
- 17. VC関連で策定中の関連OpenID仕様は3つ https://openid.net/wordpress-content/uploads/2022/05/OIDF-Whitepaper_OpenID-for-Veri?able-Credentials_FINAL_2022-05-12.pdf ? VC/VPの授受(トランスポート)の仕様はW3Cでは?定義。 ? OpenID Connectの拡張としてトランスポート仕様を策定中。 ? 著者は、W3CのVeri?able Credentials WGのChairが兼任 VCの発? VPの提?
- 18. OpenID4VCでサポートするVCの種類 W3C Verifiable Credentials Data Model https://www.w3.org/TR/vc-data-model/ ISO/IEC 18013-5 mobile Driving License (mDL) https://www.iso.org/standard/69084.html ISO/IEC 23220-2 electronic Identification (eID) https://www.iso.org/standard/79124.html Anonymous Credentials https://www.hyperledger.org/use/hyperle dger-indy SMART Health Card(SHC) / FHIR (Fast Healthcare Interoperability Resources) https://ecqi.healthit.gov/fhir https://spec.smarthealth.cards/ ? Verifiable Credentials には、いくつか仕様が存在。 ? W3C のVCと、ISOのmDL (モバイル運転免許証) には互換性はない。 ? ワクチン証明書に使われるSMART Health Cardは W3C VCベース。 ? OpenID4VCは、下記いずれもサポートするよう設計されている。
- 19. Self-Issued OpenID Provider v2 ? OpenID Connect Core仕様のSIOPを拡張 ? openid:// だけでなく、https://も使えるように ? App Links, Universal Linksや、クラウド連携のWalletも想定 ? sub値として、jwt Fingerprintだけでなく、DIDも使えるように ? OpenID Connect?体にsub値の制限はないが、SIOP仕様ではjwt fingerprintと規定 WalletからVeri?erに対してVCを提?する際に、 OIDC4VPと組み合わせて利?することを想定 VCの発? VPの提?
- 20. Self-Issued OpenID Provider v1 とは？ ? OpenID Connect Core 仕様に当初から 定義されていた！！ https://openid.net/specs/openid-connect-core-1_0.html
- 21. Self-Issued OpenID Provider v1 とは？ ? ?分の端末（スマホやPC）??がOP/IdPになるための仕様 ? ログイン時に、GoogleやFacebookにリダイレクトする代わり に、openid://スキーマを使ってスマホアプリを起動する ? 通常であれば、OP(Googleなど)を信頼して、IDトークン内の 情報（claims)を信頼するが、SIOPの場合は、IDトークンを署 名した署名鍵を信頼する。 ? SIOPの場合、IDトークン内のsub値以外の情報（claims）は? ?申告ななので信頼できないが、Aggregated Claimsを組み合 わせることで信頼できる情報を提供できるようになる。
- 22. Self-Issued OpenID Provider v2 ? OpenID Connect Core仕様のSIOPを拡張 ? openid:// だけでなく、https://も使えるように ? App Links, Universal Linksや、クラウド連携のWalletも想定 ? sub値として、jwt Fingerprintだけでなく、DIDも使えるように ? OpenID Connect?体にsub値の制限はないが、SIOPv1仕様では jwt ?ngerprintと規定 WalletからVeri?erに対してVCを提?する際に、 OIDC4VPと組み合わせて利?することを想定 VCの発? VPの提?
- 23. OpenID for Verifiable Presentations ? OAuth2.0のプロトコルでVC/VPを返却する拡張 ? 直近のドラフトで、OIDCからOAuth2.0ベースになっているので注意 ? 新たに VP トークン を定義し、IDトークンと独?して返却 ? OAuth2.0のスコープ(scope)に、求めるVC/VPの種類を指定、 もしくは presentation_definition で細かく指定 WalletからVerifierに対してVCを提?する際に、 SIOPV2と組み合わせて利?することを想定 VCの発? VPの提?
- 24. OpenID4VP: リクエストとレスポンスの例 リクエスト レスポンス vp_token には、JSONを格納したり、 mDL で使われる CBOR を base64 エンコードして格納して返却 presentation_definition に 欲しいVP/VCの形式等を指定
- 25. OpenID for Verifiable Credentials Issuance ? IssuerからWalletにVCを発?するためのOAuth2.0の拡張 ? OAuth2.0のスコープ(scope)に、VCの種類を簡易的に指定、 もしくは authorization_details (RAR)で種類、形式を細かく指定 ? 最初の認証をスキップし、認可コードをQRコードにして Walletに読み込ませることも可能 (pre-authorized code ?ow) IssuerがVCをWalletに対し発?する際に利? Issuerがユーザを認証する際にVC/VPを提?させる場合、IssuerがVeri?erにもなる VCの発? VPの提?
- 26. pre-authorized code flow の例 ? 対?で本?確認を?った後、ユーザの端末にVCを発?する ユースケースで有? 店頭などで本?確認を?った後、 Walletに読み込ませるQRコードの例 access tokenを受領して(中略) Credential EndpointからVCを取得 Walletはcredential_issuerのmetadataを 確認し、Token Endpointにアクセスする QRコードに含まれる Credential O?er オブジェクトの例 通常のOAuthフローで認可後に得られる 認可コードの代わりに、プレ認可コードが ここで得られる。 JWT形式のVCがここで得られる。
- 27. 今?はこれだけ覚えて帰ってください。 ?IDA: OpenID Connect for Identity Assurance ? OpenID Connectの仕組みを使い、本?確認済みの ID情報を連携するための仕様 ? 本?確認プロセスに関するメタデータを定義 ?OpenID4VC: VC/DID関連3仕様の俗称 ? SIOPv2: OpenID Connect(OIDC)の既存仕様を拡張し、 DIDやhttps型のアプリ連携やクラウドウォレットに対応 ? OpenID for VP: VC/VPを提?するためのOAuth2.0の拡張 新たにVPトークンを定義 ? OpenID for VC Issuance: VCを発?するためのOAuth2.0の 拡張。QRコードによる認可コードの連携が可能