SSOのセキュリティ
SSOのセキュリティ懸念
認証技術の付加で強化
一般的にシングルサインオン（SSO）は、ID・パスワードが盗難に遭うとすべてのサービスにログオンされてしまうリスクをはらむ。電子認証大手の日本ベリサインは「例えば、最近採用が増えているオンラインバンキングなどを展開する金融機関などで使っているワンタイムパスワードやクライアント証明書などでユーザー認証を強化する必要がある」（坂本健太郎・事業戦略室課長）と便利さの裏に内在する危険を防ぐ必要性を説く。
「OpenID」はユーザーがID発行・認証を提供するプロバイダ（OpenID プロバイダ）を選択し、自らの情報を預けることができる。ユーザーは「OpenID」に対応したさまざまなサイト（認証依存サイト）を利用する際にOpenIDを入力すれば認証提供プロバイダと通信を行い対応サイトのサービスを利用できる仕組みだ。主にヤフーやミクシィなど消費者向けサイトが「OpenID」対応のサービスを提供中。だが、サイトの信頼性や個人情報などのセキュリティについて懸念するユーザーも多い。
日本ベリサインはOpenIDファウンデーション・ジャパンの会員企業だが「OpenIDプロバイダ」や「認証依存サイト」の数が増えれば、これら運営企業が実在しているかを証明する「サーバ証明書」の必要性もでてくる。そこで、同社では「OpenID」を使ってビジネスを展開するベンダーなどに対し、二要素認証や電子証明書など、既存ラインアップを生かしたセキュリティ強化を推進。現段階では「OpenID」の利便性を保ち、セキュリティ不安を払拭できればビジネスチャンスが生まれる。「例えば、信頼できるプロバイダを選ぶ基準の一つにEVSSL（強化認証SSL）を導入することで、ユーザーはアドレスバーの色で視覚的に安全を確認できる」（柴田斉・執行役員コーポレートマーケティング部上席課長）と話す。重要度の高い情報には通常のID・パスワードに他の認証を追加する形の強化もできる。
同じくOpenIDファウンデーション・ジャパンに参加するサイバートラストでは「OpenID」は手軽に認証でき利便性が高いため「テクノロジーシーズとして無視できない」（北村裕司・技術本部本部長）としたうえで「認証の際にパスワードに代えて電子証明書で認証を強化するなど、PKI技術が利用される可能性がある」と新たな分野として期待する。企業利用で「OpenID」でSSOを実現してアカウントを統合管理する動きがあり、ここに商機を見出しているのだ。
第2章
「Open ID」
野村総合研究所
障壁低い「OpenID」
社員IDで外部サービス利用
「OpenID」は「OpenID」の発行元であるプロバイダや対応サービスを利用する側も扱いやすく障壁が低い。ここにきて「OpenID」を実装したシステムを利用する企業が増えつつある。これに伴って「『OpenID』を使いたい」という企業ニーズが高まり、上り調子となっている。大手SIerや大手メーカーでは「OpenID」関連のシステム提案を活発化させている。
「OpenID」は、消費者向けから企業システムまで幅広い用途で普及が始まりつつある。「個人によるID管理の負担」を解消する根本のニーズから、消費者向けサービスではIDをベースとしたマーケティングにより、新規顧客獲得を目指す企業も出始めた。
野村総合研究所（NRI）は、企業がIDをビジネスに活用するためのコンサルティングやSI（システム構築）、製品提供などを踏まえたID管理ソリューション「Uni-ID」を提供している。後述の通り、すでに日本航空（JAL）国際線経由でホテル予約し、クレジット番号などの個人情報を提携先ホテルに流通する仕組みで「OpenID」を使った事例がある。
「OpenID」には属性交換機能の定義がある。しかし、サービス同士の情報の利用目的や期間の設定など「重要なID情報を流すための仕様」が考慮されていなかった。
NRIは「OpenID」仕様の上にそれらを実装したものを「OpenIDの仕様を策定するコミュニティに提案した。近く、グローバルでワーキンググループが立ち上がる」（工藤達雄・基盤ソリューション事業本部 基盤ソリューション事業一部 主任システムコンサルタント）という。重要情報の流通には「SAML」やリバティ・アライアンスの仕様が適しているといわれてきたが、米マイクロソフトが提供する医療情報関連サービスで「OpenID」が採用されるなど、障壁が低くなってきた。
企業利用では既存のアクセス管理システムで従業員のIDを管理し、外部サービスと連携して使う場合に「OpenID」が利用できる。「例えば社員番号とID・パスワードを使って、新幹線や飛行機の予約システムなど、外部のサービスを使えたら利便性が増すだろう」（八木晃二・基盤ソリューション事業本部 基盤ソリューション事業一部長）と、企業業務の利便性向上に一役買うと見る。米サン・マイクロシステムズは従業員向けシステムを「OpenID」対応させ、「OpenID」を社員に配布し、社外のサイトを使わせている。NRI社内でも「OpenID」に対応する動きがあるという。
[次のページ]
