FIDO認証での生体情報の扱い

FIDO認証の最も重要なセキュリティ上の特徴を問う問題です。 FIDO認証(パスキー等)では、指紋や顔などの「生体情報」は、 手元の認証器(スマートフォン等のセキュアな領域)の内部でのみ保持・処理されます 。 認証器は生体情報を用いて本人確認を行った後、「公開鍵暗号方式によるデジタル署名」を作成し、ネットワークへは生体情報ではなく、この署名データのみを送信します。 したがって、生体情報そのものがネットワークを流れてWebブラウザ、WebサーバB、あるいはIdPに送信されることは絶対にありません。すべて「受信しない」が正解となります。

ある IdP (Identity Provider) は、パスキー (Passkey) 認証をサポートしており、利用者Aは、この IdPのFIDO 認証器として、自分のスマートフォンの生体認証機能を登録してある。また、WebサーバBは、このIdP を使ってログインが可能である。利用者Aの Web ブラウザから Web サーバBにアクセスする際、利用者の生体情報を受信するもの、受信しないものの組合せのうち、適切なものはどれか。

出典令和6年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問7

利用者AのWebブラウザ

WebサーバB

IdP

ア

受信しない

受信しない

受信しない

イ

受信しない

受信する

受信する

ウ

受信する

受信しない

受信しない

エ

受信する

受信する

受信する