[FIDOアライアンス東京セミナー レポート] FIDO認定と国内で初めて開催したFIDO相互接続性試験について #fidoalliance

本記事はFIDOアライアンス東京セミナーのセッション、KDDI株式会社 商品技術部 課長補佐 松井 利樹様による「FIDO認定と国内で初めて開催したFIDO相互接続性試験について」のレポートとなります。

レポート

本セッションは、FIDOの認定プログラムである「相互運用性テスト」について、テストについての説明と、取得のフローなどについて紹介いただきました。

また、本セッションのスライドはすでに公開されています。 [slideshare id=203855288&doc=fidoioptesteventsv4final-191210014714]

FIDO Interoperability Testing（IoP）テストとは？

（参考）相互運用性テスト - FIDO Alliance

• 通過するとFIDO認定される
  • 自社開発やソリューションとしてFIDOをビジネスにしたい場合、認定の取得が必要
• UAF、U2F、FIDO2 のテストがある
  • FIDO2は認証機とサーバーのテスト

認定までの流れ

実装〜認定までの流れについての説明です。

1. まず開発にあたって、FIDOの仕様書を入手

• ここから誰でも入手可能（Download Specifications - FIDO Alliance）
  • 開発はOSSも参考になる
  • FIDOの差別化は認証機の認証・セキュリティ部分になる
  • 何を使って生体認証するか、とか

2. Conformance Testing（Conformance Self‐Validation Testing - FIDO Alliance )

• IoP Test Eventsに参加する前に、実装がFIDOに準拠してるか確認できる
• IoP Test Eventsの二週間前までテストをパスするのが目標
• これに通れば認定までもう少し
• 誰でもフェアに受けられる
  • 個人でも可能

3. IoP Test Eventsへの申込み

• 年4回実施
  • なので、逃すとローンチが３ヶ月遅れる
  • Asia, EU, USで行われる
    • 現地参加が基本
    • オンラインも可能だが、トラブル時のリカバーが大変
• NDA締結が必要
  • イベントに未発表の新しい端末が持ち込まれたりするので
• 英語は片言でもなんとかなる
• 来年もできればKDDI（日本）でやりたい
  • 英語が苦手な方はここで参加してくれると良いと思う

4. pre-testing

• 本番と同じ条件でテストする
• サーバーと認証機で試験が分かれていて、それぞれの製品と接続試験をする
• テスト方法はFIDO Allianceの担当から
• 8-10の製品で検証
• FireFox、Edge、Chromeで動作確認しておくことを推奨

5. IoP Test Events

• 認証機の参加者がeventsに参加してるサーバーに対してpre-testingと同じテストをやる
• 問題がある場合切り分けて、その場で確認・修正する
• なので、エンジニアの出席が必須

KDDIで行われたイベントの紹介（2019/11/11-13）

KDDIで2019年11月にIoP Test Eventsを行いました。 日本での開催は初めてで、14社が参加したとのこと。

KDDI Productsについて

KDDIの製品についての紹介もありました。

• iPhoneをFIDO2の認証機として、BLE経由で利用できるFIDO認定製品を開発
  • アプリをインストールするとiPhoneがFIDO2のセキュリティキーとして使える

SecurityCertificatin

認証機については、Functional Testの後別途セキュリティ認証のテストがあるとのことです。 （参考）Certified Authenticator Levels - FIDO Alliance

• Functional Testの後、認証機だけSecurity Certification Testがある
• L2以上のCertificationを取得する場合、外部機関の審査がある

費用について

• テスト自体は無料
• 受かったら一度だけ認定料を1回払えば良い
  • FIDOメンバーであれば50万円、そうでない場合65万円

まとめ

• FIDO Interoperability Testing（IoP）テストは、FIDO認定を取得するためのテスト
  • 自社開発やソリューションとしてFIDOをビジネスにしたい場合、認定の取得が必要
• 誰でも受けられる
• 実装後は、以下の流れでテストをうける
  • Conformance Testing（事前に仕様検証できるテスト）
  • pre-testing（本番と同様の事前テスト）
  • IoP Test Events（認証機の参加者とサーバーの参加者で、各製品を相互に検証）
• 2019年11月に行われたKDDIでのIoP Test Eventsは初めての日本開催
• テストを受ける事自体は無料で、認定はFIDOメンバーであれば50万円、そうでない場合65万円