GUIDE 030 OpenID

～サイトを越えて使用できる「認証システム」～

2008年08月25日公開

パート1　OpenIDの「基本」を知る

サーバーがID認証を管理する仕組み

オンラインショッピングやSNSをはじめとする会員サイトなどの普及により、一般個人ユーザーでも、人によっては数十個ものIDを持っていることがあります。

しかも、セキュリティ上の理由から、誕生日など覚えやすい数字の組み合わせは排除することも多く、実にたくさんのログイン用IDやパスワードを管理しなければならない状況が、多くのユーザーを困惑させていることでしょう。

そこで注目され始めたのが「煩雑なID管理からユーザーを解放する手段・方法」です。かつてはマイクロソフトの"Passport Service"や、シングル・サインオン（SSO）と呼ばれる手法が、ID認証ソリューションの代名詞のようにいわれていましたが、ここへきて、OpenIDが注目を集めているのです。

OpenIDとは「どのサイトでも利用可能なオープン系の分散型デジタル認証システム、および、そのID」のこと。仕組みとしては、OpenIDを提供するプロバイダが保有する「OpenID認証サーバー」がIDを管理。 OpenIDに対応したオンラインサービスのサイトを利用する場合、このサーバーが認証を行うわけです。 OpenIDは、本人性の認証ではなく対応プロバイダが保有する特殊なURLを、他のWebが認証することで、煩雑な作業を軽減する仕組み。これに対してシングル・サインオンは、一定のディレクトリ、サービス間で認証モジュールを共有することにより、ユーザーは一度のログインで複数のサービスを利用できるという仕組みなのです。

既存のシングル・サインオンは、本人性とシステム間の相互信頼がベースであるのに対し、OpenIDは既存の認証システムやシングル・サインオンの延長ではなく、ウェブサイトに特化した新しい仕組み。 OpenIDは、ウェブサイト（サービスプロバイダ）の、ウェブサイト（OpenID Identity Provider）による、ウェブサイト（OpenID Consumer）のための認証プロトコルです。このように両者は根本的な違いを持っています。

OpenIDがもたらすメリットと問題点

OpenIDの活用は欧米に比べ、日本は遅れている」とするメディアもありますが、いちがいにそうとは言い切れません。なぜなら、OpenIDはまだ生まれて間もない技術だからです。

そもそも、OpenID認証プロトコルができたのは'05年5月。比較的新しい認証プロトコルといえます。セキュリティ大手のsymantecがOpenIDへの支援を表明したのが'07年、インターネットサービス大手のYahoo!やGoogleは'08年からOpenID支援に乗り出しました。 IBM、Microsoft、VeriSign、さらにはオープンソース最大サイトのSourceForge.netも'08年からOpenID利用を打ち出したばかりという状況なのです。

上記のようなIT・インターネット関連企業が続々とOpenID対応を表明したのは事実。今後、OpenID対応のサイトが増えていく可能性は高いといえるでしょう。そうなれば、ユーザーは面倒なログインの作業や、多数のIDおよびパスワードを管理する作業をしなくて済むようになります。ユーザー側にとってみれば、利便性向上やスピード向上につながるメリットを持っているといえるでしょう。

しかし、一見便利なサービスですが問題点もあります。システム上のトラブルが発生した場合に複数のサイトへの対応処理方法や、また金融サービスや公的ID利用のサービスなど、高度なセキュリティを要するサービスへの導入の是非です。

これまでに確認された問題点を改善した「OpenID 2.0」が昨年末に公開され、さらに今年2008年4月には「OpenIDファウンデーション・ジャパン」が設立されました。こうした技術面、ビジネス面での進化と進展が、どこまで問題点の解決へとつながるか、注目を集めているのです。

セキュリティ問題をどう捉えるか

ID管理に対するソリューションで必ず指摘されるのが、セキュリティの問題です。「1つのID、1回の認証プロセスで、異なるサービスプロバイダによる多彩なオンラインサービスを利用可能にする」というメリットは、逆にいえば「そのIDとパスワードが漏洩した場合、あらゆるサービスにおいて被害をこうむる危険性がある」というリスクにも通じます。これはOpenIDでもシングル・サインオンでもありうるリスク。

このリスクとどう向き合うか。技術面の発達によって、「完全に安全なソリューション」が生まれるかもしれません。しかし、それまでの間、ユーザーは一定の理解をしたうえで認証システムを選択する必要性があるのが現状です。

武藤先生が語る今月の注目ポイント／法や社会制度の改善が「OpenID」普及のためのキーポイント

セキュリティ、ニューラルコンピューティング研究の第一人者。 1983年より南フロリダ大学や南カロライナ大学助教授、ケースウエスタンリザーブ大学准教授を歴任。日本で最初にインターネットを本格的に紹介したことでも有名。 ICT用語ガイドのアドバイザーを務めていただいております。

OpenIDが広く導入されると、ユーザーは便利さの向上と時間の節約を手にします。しかしながら、トラブルが起きたときは、時間のロスと金銭的なロスにつながります。この点はきちんと理解をしておくべきでしょう。言い換えれば、問題が起きたときに、比較的簡単に、しかも速やかに問題解決ができるような仕掛けができあがれば、OpenIDは急速に普及するかもしれません。しかし、日本には独自の問題点もあります。クレジットカードでの不正利用やID詐欺に関する補償システムが確立していない点です。普及への課題としては、技術面やシステム面だけでなく、こうした法や社会制度の改善という高いハードルを越える必要があるのです。