FIDO

FIDO（Fast IDentity Online）は、公開鍵暗号を使い、サービスごとに登録した公開鍵と、認証器側で保護する秘密鍵によって、パスワード共有に依存しないオンライン認証を実現する標準群です。

■ 試験で押さえるポイント

• 登録時に鍵ペアを作り、サーバは公開鍵だけを保持します。認証時はサーバの一回限りのチャレンジへ秘密鍵で署名し、秘密鍵をサーバへ送りません。

• WebAuthnと認証器通信のCTAPから成るFIDO2があり、パスキーもFIDO資格情報です。端末内又は安全な同期基盤で秘密鍵を管理します。

• 資格情報を正規のRP ID・オリジンへ結び付けるため、偽サイトでは正規サイト用の署名を生成できず、パスワードや手入力OTPよりフィッシングに強い方式です。

• 指紋や顔、PINは多くの場合、秘密鍵を使えるよう端末内で利用者確認する手段であり、生体テンプレートをWebサービスへ送る仕組みではありません。

■ 選択肢での判断ポイント

サーバに公開鍵、認証器に秘密鍵を置き、チャレンジへ署名する点を押さえます。生体認証そのものの規格や、秘密鍵をサーバへ預ける方式ではありません。

例: 偽ドメインが正規サービスを装っても、認証器は登録先RP IDが一致しないため正規資格情報で署名しません。サーバの漏えいでも公開鍵から秘密鍵は得られません。