[FIDOアライアンス東京セミナー レポート] FIDO認定と国内で初めて開催したFIDO相互接続性試験について #fidoalliance

2019.12.05

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

本記事はFIDOアライアンス東京セミナーのセッション、KDDI株式会社 商品技術部 課長補佐 松井 利樹様による「FIDO認定と国内で初めて開催したFIDO相互接続性試験について」のレポートとなります。

レポート

本セッションは、FIDOの認定プログラムである「相互運用性テスト」について、テストについての説明と、取得のフローなどについて紹介いただきました。

また、本セッションのスライドはすでに公開されています。 [slideshare id=203855288&doc=fidoioptesteventsv4final-191210014714]

FIDO Interoperability Testing(IoP)テストとは?

(参考)相互運用性テスト - FIDO Alliance

  • 通過するとFIDO認定される
    • 自社開発やソリューションとしてFIDOをビジネスにしたい場合、認定の取得が必要
  • UAF、U2F、FIDO2 のテストがある
    • FIDO2は認証機とサーバーのテスト

認定までの流れ

実装〜認定までの流れについての説明です。

1. まず開発にあたって、FIDOの仕様書を入手

  • ここから誰でも入手可能(Download Specifications - FIDO Alliance
    • 開発はOSSも参考になる
    • FIDOの差別化は認証機の認証・セキュリティ部分になる
    • 何を使って生体認証するか、とか

2. Conformance Testing(Conformance Self‐Validation Testing - FIDO Alliance )

  • IoP Test Eventsに参加する前に、実装がFIDOに準拠してるか確認できる
  • IoP Test Eventsの二週間前までテストをパスするのが目標
  • これに通れば認定までもう少し
  • 誰でもフェアに受けられる
    • 個人でも可能

3. IoP Test Eventsへの申込み

  • 年4回実施
    • なので、逃すとローンチが3ヶ月遅れる
    • Asia, EU, USで行われる
      • 現地参加が基本
      • オンラインも可能だが、トラブル時のリカバーが大変
  • NDA締結が必要
    • イベントに未発表の新しい端末が持ち込まれたりするので
  • 英語は片言でもなんとかなる
  • 来年もできればKDDI(日本)でやりたい
    • 英語が苦手な方はここで参加してくれると良いと思う

4. pre-testing

  • 本番と同じ条件でテストする
  • サーバーと認証機で試験が分かれていて、それぞれの製品と接続試験をする
  • テスト方法はFIDO Allianceの担当から
  • 8-10の製品で検証
  • FireFox、Edge、Chromeで動作確認しておくことを推奨

5. IoP Test Events

  • 認証機の参加者がeventsに参加してるサーバーに対してpre-testingと同じテストをやる
  • 問題がある場合切り分けて、その場で確認・修正する
  • なので、エンジニアの出席が必須

KDDIで行われたイベントの紹介(2019/11/11-13)

KDDIで2019年11月にIoP Test Eventsを行いました。 日本での開催は初めてで、14社が参加したとのこと。

KDDI Productsについて

KDDIの製品についての紹介もありました。

  • iPhoneをFIDO2の認証機として、BLE経由で利用できるFIDO認定製品を開発
    • アプリをインストールするとiPhoneがFIDO2のセキュリティキーとして使える

SecurityCertificatin

認証機については、Functional Testの後別途セキュリティ認証のテストがあるとのことです。 (参考)Certified Authenticator Levels - FIDO Alliance

  • Functional Testの後、認証機だけSecurity Certification Testがある
  • L2以上のCertificationを取得する場合、外部機関の審査がある

費用について

  • テスト自体は無料
  • 受かったら一度だけ認定料を1回払えば良い
    • FIDOメンバーであれば50万円、そうでない場合65万円

まとめ

  • FIDO Interoperability Testing(IoP)テストは、FIDO認定を取得するためのテスト
    • 自社開発やソリューションとしてFIDOをビジネスにしたい場合、認定の取得が必要
  • 誰でも受けられる
  • 実装後は、以下の流れでテストをうける
    • Conformance Testing(事前に仕様検証できるテスト)
    • pre-testing(本番と同様の事前テスト)
    • IoP Test Events(認証機の参加者とサーバーの参加者で、各製品を相互に検証)
  • 2019年11月に行われたKDDIでのIoP Test Eventsは初めての日本開催
  • テストを受ける事自体は無料で、認定はFIDOメンバーであれば50万円、そうでない場合65万円