一般調達局 (GSA) の login.gov は、米国公務員および連邦政府職員が連邦政府機関とオンラインでやり取りするためのシングル サインオンを提供します。 ユーザーは1つのアカウントで、連邦政府の求人掲示板、USAJOBS、国土安全保障省のトラステッドトラベラープログラム(グローバルエントリーなど)などのサービスにアクセスできます。 login.gov は、ユーザーが連邦政府のサービスに簡単にアクセスできるようにするだけでなく、ソフトウェア開発、セキュリティ運用、およびカスタマーサポートを処理します。 これにより、政府機関はコストを削減し、セキュリティを向上させながら、中核的なミッションに集中することができます。 また、login.gov チームは、多くのサービスではなく 1 つのサービスを保護することに集中し、セキュリティとアカウント管理のベスト プラクティスを採用することができます。
課題:
セキュリティ、利便性、コストのバランス
米国政府は、連邦政府職員と一般市民の両方のために電子政府サービスの近代化を続けており、これらのサービスを安全で、ユーザーフレンドリーで、効率的で、費用対効果の高い方法で提供することが課題となっています。 フィッシング攻撃が増加する中、政府は「フィッシング対策」の多要素認証(MFA)技術をサポートすることが不可欠でした。
FIDOへの道:
GSAの login.gov 評価プロセス
GSA は、セキュリティ、コスト、コンプライアンスの 3 つの主要な優先事項で、login.gov の認証に関するいくつかのオプションを評価しました。
概要
課題
フィッシング攻撃が増加する中、
政府にとって必須だった
「フィッシング対策」の多要素要素をサポートするには
認証 (MFA) テクノロジー
また、ユーザーフレンドリーで効率的で、
費用 対 効果。
ソリューション
いくつかのオプションを評価した後
login.gov の認証では、
政府は支援を決定
FIDOを使用したFIDO2
セキュリティキーと組み込みのFIDO
Windows Hello などの認証システム
バイオメトリクス。 との比較を通じて、
他の選択肢として、FIDOは次のようなものを見つけました。
セキュリティ、ユーザビリティ、
コストとコンプライアンス。
導入の効果
GSAは、
2018年9月のFIDO2。 イニシャル
約2,000件相当の採用、
または新規ユーザーの0.2%がGSAにランクインしました
ユーザー登録の要件
2 番目の MFA オプション。 その結果
新しい FIDO2 セキュリティの数
キーは毎月 17,000 に増加しました。
2019年6月下旬には、
27,000 個の FIDO2 キーが登録され、
導入率は約
全新規ユーザーの3%、
最初のロールアウトから大幅に増加しました。
セキュリティ
調査したMFA GSAのオプションの1つは、SMSワンタイムパスワード(SMS OTP)でした。
その結果、SMS OTPがユーザーに人気のあるMFAオプションであることがわかりました。 SMS OTPは便利ですが、回避可能なセキュリティリスクをユーザーにもたらします。これには、ユーザーのテキストメッセージを監視する可能性のあるマルウェアが誤って携帯電話にダウンロードされたことが含まれます。 さらに、GSAはフィッシングに関して多くの問題を経験しており、特に銀行情報やユーザーの生年月日や社会保障番号などの個人を特定できる情報を管理しているアカウントを標的にしていました。 login.gov、GSAはフィッシングを防止できるSMS OTPの安全な代替手段を提供したいと考え、FIDO2認証規格の評価を開始しました。
FIDO2は、ユーザーがデバイス上の生体認証やFIDOセキュリティキーなどの一般的なデバイスを活用して、フィッシングに強い暗号化セキュリティでオンラインサービスに対して認証できるようにする一連の強力な認証標準です。 FIDO2の仕様は、World Wide Web Consortium（W3C）のWeb Authentication（WebAuthn）仕様と、FIDOアライアンスの対応するClient-to-Authenticator Protocol（CTAP）である。
FIDOアライアンスのFIDO2標準をレビューした結果、GSAはFIDO2のフィッシング対策がセキュリティ上の課題に対処するのに最も適切なアプローチであることを発見しました。
FIDO規格の内部
FIDO2仕様を含むFIDOプロトコルは、共有シークレットの代わりに標準の公開鍵暗号技術を使用して、より強力な認証とフィッシング攻撃やチャネル攻撃からの保護を提供します。
また、プロトコルは、ユーザーのプライバシーを保護するためにゼロから設計されています。 これらのプロトコルは、さまざまなオンラインサービスがサービス間でユーザーを共同作業および追跡するために使用できる情報を提供せず、生体認証は、使用された場合、ユーザーのデバイスから離れることはありません。
これは、指のスワイプ、PINの入力、マイクへの発言、第2要素デバイスの挿入、ボタンの押下など、ログイン時の簡単な操作を通じて、ユーザーフレンドリーで安全なユーザーエクスペリエンスとのバランスが取れています。
コストの削減
セキュリティ上の懸念に加えて、GSAはSMS OTPの管理にかなりのコストがかかることに気付きました。 代替案がなければ、より多くのユーザーが login.gov にオンボーディングされるにつれて、これらの費用はエスカレートし続けます。
FIDO2により、GSAは「独自のFIDOセキュリティキーを持ち込む」アプローチを活用し、費用対効果を高めることができます。 連邦政府はオーセンティケータの販売やプロビジョニングは行いませんが、以前にプロビジョニングされたオーセンティケータの使用を可能にします。
コンプライアンス
NIST のデジタル ID ガイドライン – 認証とライフサイクル管理 (Special Publication 800-63B) は、ネットワークに対するユーザーの認証に関連する連邦政府機関が遵守する必要があるガイダンスです。 2017年のガイダンスでは、SMS OTPが「制限付き」認証技術として再分類されました。 つまり、エージェンシーは、制限されていない代替オーセンティケーターを少なくとも1つユーザーに提供する必要があります。 また、制限付き認証システム(SMS OTP)のセキュリティリスクと代替手段の可用性に関する有意義な情報をユーザーに提供する必要があります。 FIDO標準は、高保証の強力な認証のためのNISTガイドラインを満たす安全な代替手段を提供します。
FIDO2開発
開発に先立ち、GSAはGoogleの開発者リソースを利用して、developers.google.com でFIDO2 WebAuthnによる強力な認証を有効にしていました。 サーバー側の処理を支援するために、GSAはGitHubのWebAuthn-ruby gemを活用しました。 これは、バックエンド処理を含む開発に大きなメリットと迅速化をもたらしました。 さらに、GSAはW3Cの参考資料を使用して、発生した問題についてさらに明確にしました。
GSAの login.gov コードはすべてオープンソースであり、リポジトリ18F/identity-idpの下でGitHubにあります。 FIDO2は標準ベースの認証技術であるため、FIDO2のサポートの実装は非常に高速でした。 3 人の開発者からなる小さなチームで、わずか 2 週間で開発を開始し、本番環境に移行しました。
FIDO2 によるデプロイとユーザー エクスペリエンス
GSAは2018年9月にFIDO2による認証を展開しました。 login.gov は、FIDO セキュリティ キーと Windows Hello 生体認証などの組み込みの FIDO 認証システムを使用して、FIDO2 をサポートしています。 ユーザーの場合、これらはすべてユーザーのオンボーディング中に「セキュリティキー」と呼ばれます。 login.gov で FIDO2 を設定するプロセスは、次のように機能します。
- ユーザーが login.gov アカウントを作成するときは、メールアドレスを入力し、パスワードを作成します。 Login.gov はまず、新しいユーザーに自動生成されたメールを送信して、メールアドレスを確認します。
- 次に、SMS OTP、FIDO2 セキュリティ キー、バックアップ コードなどのオプションのメニューから MFA を選択して設定するように指示されます。
- FIDO2を設定するには、ユーザーは「セキュリティキー」オプションを選択します。
- ユーザーは、セキュリティ キーのニックネームを作成できます。
- ハードウェア セキュリティ キーをコンピューターに挿入してタッチするか、デバイスにサポートされている組み込み認証システムがある場合は、カメラを覗き込むか生体認証センサーに触れて使用するように求められます (2 つの例)。
- ユーザーには「成功画面」が表示され、login.gov アカウントにアクセスできます。
多くのユーザーは、サインイン時に「デバイスを記憶する」オプションを利用します。 たとえば、ユーザーがラップトップを使用していて [デバイスを記憶する] をオンにした場合、さらに 30 日間はそのラップトップで MFA を再度必要とする必要はありません。
FIDO2以外のセキュリティキーのサポート
テスト中に、開発チームはいくつかのハードウェアセキュリティキーに障害が発生していることを発見しました。 その結果、失敗の大部分はFIDO2に準拠していないことが原因であることがわかりました。 非FIDO2セキュリティキーのサポートを追加することを検討した結果、WebAuthnを実装するだけではかなりの時間と労力がかかるため、サポートしないという決定が下されました。 GSA は、後日、FIDO2 以外のキーのサポートを再検討する予定です。 FIDO2認定認証器の一覧は、FIDOアライアンスのウェブサイトでご覧いただけます。
FIDOユーザーによる採用:増加傾向
当初、ユーザーは毎月約2,000個の新しいFIDO2キーを登録しており、これは新規ユーザーの約0.2%に相当します。 GSAは、認証統計を分析したところ、より多くのユーザーがMFAにモバイル/SMS OTPオプションをより頻繁に選択していることを発見しました。 2019 年 5 月、GSA は FIDO2 の認知度と採用を促進するために、新規ユーザーに 2 つ目の MFA オプションの登録を要求し始めました。 この変更により、新しいFIDO2認証器の数が月間17,000に増加しました。 この数は6月だけで27,000人に増加し、採用率はすべての新規ユーザーの約3%に増加し、最初のロールアウトから大幅に増加しました。 GSAは、既存のユーザーに対しても同じ要件を検討していますが、ユーザーエクスペリエンスを損なうことなくそれを行うことを検討しています。
2019年6月現在、login.gov 毎月約100万人の新規ユーザーを獲得しており、代理店がサービスを追加し続けるにつれて、その数は増加すると予想されています。 GSAは、ユーザーが別のFIDOセキュリティキーを取得する必要がないため、組み込みの認証システムを使用して採用を増やすことに大きな期待を寄せています。
導入拡大のための今後の改善
login.gov 直面した課題の1つは、ユーザー教育です。 具体的には、FIDO2に登録するオプションがあることをユーザーに通知し、FIDOとは何か、どのように設定するかについて教育します。 FIDO2セキュリティキーを持っていないか、認証システムが組み込まれていないためにFIDOを設定できないユーザーを混乱させることなく、これを実現するのは難しい場合があります。
GSAが取り組んでいるもう1つの分野は、オンボーディングプロセスと、すべてのFIDO認証器に「セキュリティキー」という用語を使用することです。 2019年9月現在、ユーザー調査が進行中で、セキュリティキー言語を使用するのではなく、デバイスの名前が何であれ、ユーザーにセットアップを促すように促しています。 暫定的な調査結果によると、物理的なセキュリティキーを持っているユーザーにはセキュリティキーオプションを保持し、組み込みのオーセンティケーターを持つユーザーには「Androidスマートフォンを使用する」や「Windows Helloデバイスを使用する」などのオプションを追加することが採用に役立つことが示されています。 これにより、ユーザーはオプションを明確にし、設定する可能性が高くなります。
また、検討中の機能強化として、「MFA Checkup」という機能があります。 これは、ユーザーがスマートフォンを変更してバックアップコードを紛失した場合に発生する実際の問題に対処するためです。 Login.gov、使用可能なメソッドをユーザーに通知する画面を表示するか、メソッドを置き換えるオプションをユーザーに提供します。
最終的に、GSAは、ユーザーコミュニケーションを合理化し、ユーザー認証オプションをより明確にすることが、ユーザーの採用を増やし、GSAとエンドユーザーの双方がFIDO認証が提供するセキュリティ、ユーザビリティ、コスト削減のメリットを十分に享受できるようにするための鍵であると考えています。 GSAは、電子政府サービスへのログインにFIDO認証を提供した最初の政府の1つとして、他の政府が追随するモデルとなるよう努めています。
米国一般調達局(General Services Administration)によるFIDO2のロールアウトは、 こちら login.gov PDFでご覧いただけます。
