滅びてほしい認証系の実装の話
こんにちは、富士榮です。 ちょっと前に某所でダメダメな認証系の技術実装ってなんだろうねぇ、、という話をしていたことをXで呟いたところ、色々とご意見を頂けましたのでまとめて書いておきます。 考えていると結局のところ、サービス提供側が意図していることとは全然違うことが起きている気がするので、この辺はしっかり考えて実装したいところですね。（実装ミスは問題外として） カテゴリ滅びてほしいもの実装側がやりたいこと利用者が感じること実際に起きていること代替手法認証CAPTCHAbot避けぐにゃぐにゃ文字が読めない バイクと自転車の違いとは？ユーザの離脱、カゴ落ちパスキーの利用 新しいタイプのCAPTCHA（通常は画面に出ない） リスクベース認証との組み合わせによる抑制認証パスワード誰でも使える認証手段の用意忘れる。複雑なパスワードをそれぞれのサービス毎に管理するのは無理パスワードの使い回し。パスワード
外部IdP利用時にRP側"でも"多要素認証を行うべきか
こんにちは、富士榮です。 今回は多要素認証の話です。ソーシャルIDなどの外部IdPと連携をする際、外部IdP側がパスキーに対応している場合もあり、基本的にRP側はIdPの認証結果を信じて何もしないという文字通り「Relying」な感じで構成されることが多いと思います。 しかしながら、本当にそれでいいの？とうケースも存在すると思うので、少し深掘りしてみましょう。中々難しい話だと思いますが、IdP側（例えばGoogle）で認証を強化するか、RP側（例えばECサイト）で認証を強化するか、もしくは両方か、についてユーザ体験の妥当性を含めて考えていかないといけないところです。IdPもRPもそれぞれ責任範囲が異なるので基本的に自分の責任範囲を守る目的で多要素認証を要求していますが、ユーザから見るとなぜ別々に、、という形に見えてしまうことも事実です。 この問題を根本的なところは先に書いた通り責任範囲の話
分散型IDに関する10の所感（2022年2月版）
いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。 後は、関連するニュースなどを徒然と。 こんにちは、富士榮です。 なんだかんだでuPortを触ったり現Azure Active Directory Verifiable Credentialsの前身を触ったり、最近だと数カ所で実証実験プロジェクトを立ち上げたり、MS主催のDecentralized Identity Hackathonで入賞してみたり、と分散型IDに関わり始めて5年くらい経っていたりしますので、現時点で分かったことをメモしておこうかと思います。（往々にして数年後に見返すとう〜ん、となるやつだけど気にしないことにする） ※そういう意味では2019年の#didconでその時点でわかっていることをある程度まとめて発表してからおよそ3年も経つんですね・・・ また機会があればdidconでも開催してじっくりお話さ
ワクチン接種証明のVerifiable Credentialsを覗いてみる
こんにちは、富士榮です。 20日にデジタル庁がリリースしたワクチン接種証明アプリが話題ですね。内容的にはSMART Health Cardの仕様に沿った証明データが出てきているという話だったので中身を紐解いてみようかと思います。何しろSMART Health Cardの中身はW3CのVerifiable Credentials（VC）なので。 参考１） https://www.digital.go.jp/policies/vaccinecert/faq_06 より 参考２） This document describes how clinical information, modeled in FHIR, can be presented in a form based on W3C Verifiable Credentials (VC). https://spec.smarthealth
jwt.msとjwt.io。JWTオンライン・デコーダを比べてみる
こんにちは、富士榮です。 eyJ・・・とくると脊髄反射してしまうID厨の方々は既にご存知だと思いますが、JWT（Json Web Token）の中身を眺めてデバッグをする時にとっても役に立つのがオンライン・デコーダです。 個人的には、Auth0が提供しているjwt.ioをずっと使っていたのですが、最近マイクロソフトが提供し始めたjwt.msも意外と便利なので比べてみます。 使い方はjwt.ioもjwt.msも共通で、eyJ・・・の文字列を張り付けると自動的にデコードされ、JSONが表示されます。 ◆jwt.io まずはjwt.ioです。
[Azure AD]サードパーティのOATH対応トークンで多要素認証
いろんなアイデンティティ管理系製品やサービスの実験の記録をしていきます。 後は、関連するニュースなどを徒然と。 こんにちは、富士榮です。 これまでAzure Active Directory（Azure AD）の多要素認証機能（MFA）には、 ・Azure Authenticatorアプリによる通知もしくはOTP（ワンタイムパスワード） ・SMSによるテキストメッセージ通知 ・音声による通知 の3つの手段しか2要素目として使用することが出来ず、他の要素を使いたい場合はオンプレミスのMFA Serverを構築してAD FSと連携させるしか方法がありませんでした。 要望としてはかなり前からフィードバックが上がっており、OATH対応するよ！という話はチラチラと聞こえていたんですが、ようやくオフィシャルに出てきました。 Active Directory Team Blogのエントリ More #A
![[Azure AD]サードパーティのOATH対応トークンで多要素認証](https://cdn-ak-scissors.b.st-hatena.com/image/square/b29e4852b2957e950848ba5b6fbe53528677b9c1/height=288;version=1;width=512/https%3A%2F%2Fblogger.googleusercontent.com%2Fimg%2Fb%2FR29vZ2xl%2FAVvXsEjajNE9YuufQtfPvTRyPQn5_K2XcR7gwlQhVwlizNKtZy6q75ZxG679ObH8pz4Gk7fMyt-tRPLL_2UJhPSKffxVf7D2VFJ0NO9HI-r4aJ6-DWHlowgFAOykVXMPR2Voic1HYc6af8_efpg%2Fw1200-h630-p-k-no-nu%2F01.setup.png)
[Windows 10]PIN対パスワード、そしてWindows Passport
こんにちは、富士榮です。 昨年夏のリリース時から「パスワードは時代遅れです」というメッセージで世の中を混乱の渦に巻き込んできたWindows 10ですが、半年が経過した今でも「やっぱり意味がよくわからない」という声をしばしば耳にします。 ※ちなみにTH2のビルドだと「PINのセットアップ」というメッセージになっています。 これまでも各所の記事やセミナなどでは簡単に話をしたことはあるのですが、ちょうど前回から書き始めているWindows 10のドメイン参加やサインインの仕組みの大前提になる話でもあり、良い機会でもあるので簡単にまとめておきたいと思います。 （ちなみに多分に私見が入っています） ◆何が議論されているのか？ まず、これまで起きている議論はどういうものなのか、簡単にまとめておきます。 Windows 10をセットアップすると「PINはパスワードを使用するよりも早くて安全です」という
![[Windows 10]PIN対パスワード、そしてWindows Passport](https://cdn-ak-scissors.b.st-hatena.com/image/square/ec15125467cd4780e24941cb91587b90b3a446f9/height=288;version=1;width=512/https%3A%2F%2Fblogger.googleusercontent.com%2Fimg%2Fb%2FR29vZ2xl%2FAVvXsEgyUJ89KkuGkPWUtw2RGFevpqsCwNhlUl7-ynVQ0Uwu3AtfKabSOMkdfL_8h-xMd9vphF2KDLPeP919MeO1mYpMx6PFOz7EwEStuuROedaVHDTpNuYN9Oy1EYPHj9MEH7c-kSNoRRmt5RE%2Fw1200-h630-p-k-no-nu%2F1.png)
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Trusted Signing（元Azure Code Signing）がPublic Preview