SURFは、オランダの研究機関と大学のための共有IT組織である。 この組織は、全国にある100を超えるさまざまな施設をつなぐ手助けをしている。
課題／ユースケース
多くの学生や教育関係者がアクセスを必要としている中、SURFは複数の課題に直面している。
2007年以来、SURFはSURFconextと呼ぶサービスを開発・利用しており、研究・高等教育のためのナショナル・アイデンティティ・フェデレーションを提供している。 SURFconextは、180以上の異なるIDプロバイダーで構成されるIDフェデレーションであり、SURFの加盟機関にシングルサインオン（SSO）機能を提供している。 SURFconextはSAML 2.0標準に基づき、OpenID Connectを利用しており、オランダ全土で170万人に利用されている。
過去10年間で、機密性の高いワークロードが増え、アクセシビリティに対するセキュリティ上の懸念が高まっている。 加盟機関の中には、基本的なパスワード認証のみでアクセスを強制しているところもあり、多要素による強力な認証を導入する必要があった。
SURFはどのようにFIDOを使用してユーザーを保護しているか
SURFは、複数の会員組織がそれぞれさまざまなテクノロジーを使用していることから、SURFsecureIDというアドオンサービスを導入した。
SURFsecureIDは、多要素認証をステップアップアプローチで提供するホステッドサービスです。
「このアイデアは、ユーザーが自分のホームユニバーシティでパスワードを使用して認証し、サービスプロバイダーにリダイレクトされる前に私たちにリダイレクトされ、最初にリクエストしたサービスに送る前に2つ目のファクターを要求するというものです」と説明した。 ヨースト・ファン・ダイクサーフのテクニカル・プロダクト・マネージャー。
SURFのユーザーを保護するために、ステップアップ認証アプローチはFIDO2標準を利用している。
メリット
FIDOの導入により、SURFはオランダ全土のユーザーに強力な認証を提供することができるようになり、弾力性とセキュリティの向上に貢献している。
FIDOがSURFの最小化に役立っている特別なリスクの一つは、少なくともパンデミックの発生以来、懸念が高まっているフィッシング攻撃である。
「特にCOVID危機が始まって以来、私たちのユーザーを狙ったフィッシング・キャンペーンが数多く行われており、FIDO2はこの脅威を軽減する優れた方法だと考えています」とSURFのテクニカル・プロダクト・マネージャーであるJoost van Dijk氏はコメントしている。
