これまでヤフーは、パスワードレス化にむけてSMS認証やパスワード無効化などの機能を提供してきました。そして、さらに最新のウェブ認証規格である「FIDO2」の認定を取得し、Yahoo! JAPAN IDでのログインに実装することで、サービス事業者として世界で初めて実サービスにFIDO2による認証をリリースしました。
これを契機に、パスワードレスな世界が飛躍的に広がっていくことが期待され、今回はFIDOに関する研究と事業開発に取り組んだ4名のメンバーに、その取り組みを振り返ってもらいました。
パスワードレス推進メンバー
五味 秀仁
日本電気 中央研究所を経て、2007年ヤフー株式会社に入社。
以降、Yahoo! JAPAN研究所にてアイデンティティ管理、プライバシー保護、トラスト管理、コンテキストアウェア技術等の研究開発に従事。
山口 修司
2009年新卒入社。Yahoo! JAPAN IDの登録・認証・連携に関する開発運用に従事。2015年よりYahoo! JAPAN研究所にて研究所技術のサービス化推進エンジニア。
酒井 公希
2008年 富士ゼロックスに入社し、SEとしてシステム開発やプロジェクトマネージャーとしての経験を積んだ後、ソリューション事業などの企画に従事。2016年 ヤフー株式会社に入社後は、IDソリューションユニットにてYahoo! JAPAN ID周りのサービス企画を担当。また、プロジェクトマネージャーとして、パスワードレス化の推進を行っている。
上野 博司
2014年新卒入社。Yahoo! JAPAN IDを使ったID管理や認証機能の開発を担当。入社直後からFIDO技術に関する勉強会に参加。研究段階から事業のアウトプットまで一貫して携わっている。
「FIDO」は何が優れているのか？
──ヤフーが最新のウェブ認証規格である「FIDO2」に対応したことによって、Yahoo! JAPAN IDを使ったログインが必要なサービスでは、パスワードに代わって指紋など生体認証が使えるようになりました。
現在は、AndroidのGoogle Chrome上でのYahoo! JAPAN IDを使ったログインにご利用いただけますが、今後、さまざまなサービスやデバイス・ブラウザーにこの機能が広がるはずです。そもそも、従来の認証方式に比べて、FIDO認証が優れているところはどこなのでしょうか？
五味：生体認証や公開鍵暗号など要素技術そのものは、既に存在するものです。それらをうまく組み合わせて現代風にアレンジして、サーバー側に生体情報などの秘匿すべき情報が残らないような形の認証にし、かつそれを標準的な技術にしたことが素晴らしいと思います。
パスワードなど従来の認証技術では、サーバー側にユーザーの重要な情報が保存されることが多いです。万一、それが不正アクセスされれば極めて深刻なセキュリティ上の問題が生じてしまいます。
最近深刻なのはパスワードリスト型攻撃と呼ばれるもので、何らかの手段によりあらかじめ入手してリスト化したID・パスワードを利用してウェブサイトに不正ログインを試みるという犯罪が増えています。
ユーザーが同じID・パスワードの組み合わせを複数のサイトで使用していると、正規のユーザーになりすませてしまうので、それを防ぐことが難しくなります。サービスごとに別のパスワードを使っていただくようにと啓発はしていますが、現実にはなかなか難しいのです。
その点、FIDOはスマートフォンなどのデバイス上に生体認証を登録・照合し、照合結果のみをサーバーに送信してログインするため、サーバー側（例えば、ヤフー側）には生体情報が保存されません。さらに、事前に登録したデバイスからのみ生体認証が利用できる仕組みのため、登録したデバイス以外からはログインできないようになっています。
上野：現在は、Android端末でかつChromeブラウザーを使った場合だけですが、Yahoo! JAPANのさまざまなサービスにログインする際に、これまではパスワードを入力する必要があったのが、FIDOを利用した指紋認証の設定さえ済ませておけば、デバイスへのタッチだけでログインできるようになります。SMSでコードを送られて来るのを待つ必要もありません。
それだけでもユーザー負担が減ることになります。今後は、他のデバイスやブラウザーにもこの技術は拡張していくので、ログインして使う全てのウェブサービスの出発点として使えるようになるはずです。
五味：AppleではすでにiOSで使える仕組みを作っており、SafariブラウザーでもFIDOをテスト中と聞いています。私たちのプロジェクトでも、その対応を準備しています。
小さな“草の根”からスタートしたプロジェクト
── 五味さんはパスワードレスの研究開発推進のリーダー的な存在ですが、ご自身が最初にFIDOに関心を持ったのはいつ頃のことですか？
五味：2014年の頃だったと思います。研究所だけでなく、事業部の人も巻き込んで、5～6名規模での小さな草の根的な認証技術に関する勉強会を始めました。従来のパスワードは技術的には再利用ができてしまうという課題があるため、パスワードレスを目指すべきだと議論していました。この流れはグローバルなものになるという確信があったので、2014年にFIDOアライアンスにヤフーとして参加することにしました。
国際的な標準化団体にヤフーが参加することは当時では珍しいことでしたが、もともと、認証技術についてはIDソリューション本部が設けられているように、人的リソースを惜しまない企業です。FIDOについても、研究所、事業部ともにその取り組みの重要性をトップレベルで認識していたのだと思います。
上野：私はちょうどその頃（2014年）の新卒入社で、五味さんが登壇するFIDOセミナーに参加して、FIDOに興味を持ちました。それから社内の勉強会に参加するようになりました。FIDOとはそもそも何なのか、それを実装するにはどういう技術が必要なのか、サービスとして展開するためにはどういう課題があるのかなど、研究から事業アウトプットまで一貫して携わることができたのは、得がたい体験でした。
山口：私はヤフー入社後、Yahoo! JAPAN IDを開発しているチームに6～7年在籍していたのですが、パスワードレスに関わる技術に研究視点から関わりたくて、研究所に移籍しました。最初の設計段階では上野君と一緒にやっていましたが、今は上野君がバリバリできるようになったので、そこはお任せして(笑)、今は五味さんと一緒にFIDOアライアンスのワーキンググループの活動もするようになりました。
酒井：私は、メーカー系SEからの転職で、最初は認証技術について全然詳しくなかったのですが、上司にパスワードレスのプロジェクトにアサインされてFIDOの議論に参加するうちにだんだん興味を覚えるようになりました。私が参加した2016年から数えても2年半かかっていますが、ようやくリリースに辿り着けてほっとしています。
ただ、パスワードレス化とサービスの成長は、まだまだこれからです。パスワードをなくすことで、サービスにどんな影響があるのか、FIDO認証やそれ以外のパスワードレスを実現する技術で有効なものはあるかなどの継続した検討が必要です。
ここはあらためて強調したいのですが、ヤフーはサービス事業者として世界で初めてFIDO2による認証をリリースしました。ただ今後、パスワードレスの世界を広げるためには、ヤフー単独では限界があります。
そのためにも、Google、Microsoft、NTTドコモやLINEなどのFIDOアライアンスの参画企業とともに、FIDOアライアンスの一員として標準化の活動を強めることがとても大事だと思います。
五味：ちなみに、FIDOアライアンスの年次会議が2019年1月にテキサス州のオースティンであったんですが、そこでは酒井、上野の両名が発表を行っています。現在ヤフーのIDサービスを実際に事業面から推進する2人がFIDOのような標準化の舞台で発表するということは非常に有意義なことと考えています。
IDプラットフォームはコア技術。FIDOサーバーも自前で構築
── 最初にAndroid端末向けに実装したのはどういう理由からですか？
酒井：アライアンスの中でも各企業の戦略があります。2017年12月のFIDOアライアンス東京セミナーで、Googleからのプレゼンテーションの中に、FIDO2をサポートするためのAndroidのAPIを提供するという内容がありました。
その後、われわれとしてもFIDOアライアンスの活動を通じて得られる情報やGoogleのAndroidやChromeのリリース情報を追いかけ、Chromeの開発者バージョンからそのAPIが呼び出せることをキャッチしたので、まずはAndroid/Chromeの環境での開発に着手したわけです。
── 実装にはどういう難しさがありましたか。
酒井：ログインのところでいうと、フロント側はChromeに実装されているAPIを使って実装すればいいんですが、Yahoo! JAPANへのログインに組み込むためには他の認証方法と不整合が起きないように、そしてユーザーへの見せ方などを工夫する必要がありました。
また、サーバーサイド（FIDOサーバー）についてはイチから内製するために、FIDO2の仕様とYahoo! JAPANの認証仕様の両方を理解した上で設計を進める必要がありました。これは、主に五味さん、山口さん、上野さんの3人が中心となって複数のエンジニアで協力して作り上げたものです。
五味：サーバーも自前でというのは、重要なポイントです。今は、FIDOのサーバー機能を専門に開発するベンダーもあって、それを利用するという手もなくはないのですが、ID周りの技術はもともとヤフーにとってはコア技術だし、事業面でもこのプラットフォームこそがヤフーの財産・強みの一つでもあります。ですから、これらを生かしながらFIDOを適用することが非常に重要で、自前での開発にこだわりました。
上野：勉強会でも、すでに提供している既存の認証技術の整理を行い、FIDOを実際のサービスに組み込むにはどういう仕様にすべきかを議論しました。それに結構時間がかかりました。次に着手したのがサーバー側の開発でした。
山口：サーバーをどう作るか。たしかにその仕様に関する膨大な英語のドキュメントはあるんですが、それをどう実装に落とし込むかは自分たちの判断です。同時に、いま動いている社内のプラットフォームのこともわかっていないといけない。これで行こう、となるまでに半年ぐらいかかったかな。
2017年頃にChromeがFIDO2に対応しそうだという情報がありましたが、われわれはその前からサーバーを実装していたわけです。どんなブラウザー、どんなデバイスで使えるようになるかわからないけれど、どういうものにでも対応できるようにするために、サーバー側の実装を先にしておく必要があったんですね。
酒井：従来のパスワード認証についてはヤフーに長い間の技術蓄積がありますから、パスワードレスのFIDOサーバーも自分たちで構築するというのはその流れからしても当然なんですね。
もちろん、パスワードとパスワードレスでは技術やユーザー体験も違いますから、それをロジックとして組み込んで一つのものとして統合する。いま動いているサービスはそのまま使えるように、ユーザーにパスワードレスの体験に移行してもらう必要がありました。
上野：内製であるがゆえに、既存システムと組み合わせることも含めて、サーバー設計の自由度は高くなっていると思います。
酒井：他のデバイスやブラウザーにも対応させていくという今後の拡張性を考えた時にも、内製であることの優位性はあると思います。外部のベンダーと相談せずとも、社内のエンジニアだけで議論できますから。
── プロジェクトチームは、研究所と事業部の双方から人が出ているわけですが、この協業関係にはどんなメリットがありますか。
酒井：FIDOアライアンスの中でパスワードレスに関するさまざまな議論が日々されていますから、仕様がフィックスされるまでには時間がかかります。FIDOの内部の議論については、五味さんや山口さんなど研究所の方々が詳しいので、その情報を逐一共有いただいていました。
一方、ヤフーのプラットフォーム側の実装については、サービス側のエンジニアがやはりよく知っている。両者が協力して議論することで、双方の知見を集めることができました。
上野：研究所とサービス側のエンジニアが一緒にやっているので、何事にも意志決定が早く、仕様の検討、開発、リリースまでをスムーズに行うことができました。
世界の企業と共同で標準化 ── アライアンスの意義とは
── FIDOアライアンスでは、みなさんは具体的にどんな活動をしていますか。
酒井：FIDOアライアンスは、テクニカル、マーケティングなどワーキンググループ（WG）ごとに活動し、それぞれリモートで定例会議を開いています。そこで議論して資料などにまとめ、年に三回ある対面の全体会議で発表します。
五味：WG内で承認された後に、FIDO全体の会議で承認するというプロセス。これを経ないと外には発表されません。私は、山口君とともに、技術関係のWGに参加しています。そこで私はドキュメントのエディタを務めています。同時に日本WGにも参加していまして、日本向けに技術の解説記事を作成したり、事業展開の推進もしています。
── 日本企業からの提案が国際標準化されることがあれば、それはうれしいことですね。
五味：その心意気で活動しています。ヤフーだけでなく、日本WGに集う日本企業の結束力は高いものがあります。日本のIT企業の力を世界にアピールすることができていますし、グローバルでの展開が楽しみです。
山口：私はFIDOの技術実装そのものというより、FIDOを実装した時に発生するさまざまな課題を検討するWGに参加しています。FIDO認証がもっとスケールするにはどうしたらいいかとか、ユーザーがIDを認証するデバイスを紛失した時にはどういう事態が発生し、それにはどう対応すべきかなど、あらゆる事態を想定しておく必要があるんです。
酒井：例えば、現在AndroidとPCの2台の端末を利用しているユーザーがいたとしたら、AndroidはFIDO認証が使えますが、PCはパスワード認証のままです。ただ、AndroidのFIDO認証を利用してPCでもログインできるようになったら便利ですよね。
けど、そうなると山口さんがおっしゃっているように、FIDO認証をするAndroidを紛失した時に困るわけで、こういった不便を解消していくことが、FIDO認証の普及につながっていくんだと思います。
最先端の認証技術を追いかけ、人々に提供できる仕事
── ウェブサービスにパスワードレスという新しい世界が生まれる。その最先端を走れる仕事。これって、新卒・中途を問わず、エンジニアにとってはワクワクするものではないでしょうか。
五味：そうですね。FIDOは世界標準技術ですし、その開発に携わりながら認証技術の最先端に触れることができる。しかもヤフーなら、それを膨大なユーザーに提供して、実際に使ってもらえるという醍醐味も味わえます。
私は前職でも、企業アライアンスは経験済みだったんですが、認証のようなウェブの基盤技術を自分たちでゼロから作り上げるということはあまりありませんでした。今は、こういう世界を作ろうというビジョンをより直接的に体現できます。
酒井：私は前職がメーカー系SEなので、今の仕事との比較は難しいんですが、何より開発をしているエンジニアがすぐ隣にいるという環境がいいなと思います。入社してすぐの頃は、IDや認証技術について詳しいわけじゃなかったんですけど、アイデアや話をすれば教えてくれるし、すぐ動いてくれる。今日のメンバーの五味さん、山口さん、上野さんにもいろいろ尋ねまくりました(笑)。
上野：聞いてくれたおかげで、こちらも仕様を深く理解できたということもあり、お互い気づきがありました。既存のエンジニアだけだとデプロイまで進めるのは難しかったと思うんですが、酒井さんが、動機づけ、調査、まとめなどをしてくれたおかげで、プロジェクトがスムーズに進みました。
── 新卒のお二人はそもそもどういう動機でヤフーに入社されたんですか。
山口：学生時代は機械系で、サッカーロボットのコンテストに出場していたりしました。ロボット開発でもソフトウエアのほうに興味がありました。ふと考えたら、Googleとかヤフーって、まさにソフトウエアのロボットじゃないかと思った時があったんです。
つまり、身体はないけれど、人間がお願いしたら何でもサービスしてくれて、アウトプットが返ってくる。そういう面白さがあるだろうと期待して、入社しました。しかも、自分たちがソフトウエアを開発すると、すぐに何万人ものユーザーが使ってくれるわけですから、その楽しさはサッカーロボットの比ではないと(笑)。
IDを扱うチームに配属されて、最初のリリースから多くのユーザーに使っていただけた体験は想像通りエキサイティングでした。
上野：学生のときは、もともと人とロボットとの意思疎通について研究をしたいと思っていたので、機械学習を学んでいました。しかし、大学の研究室だと質の良い大量のデータを扱うことが難しく、研究自体はとても大変でした。
その経験からヤフーならデータがたくさんあるし、機械学習の知識も生かせるだろうと思い、入社しました。今ではユーザーセキュリティを中心に不正ログイン対策やFIDOのような新しい認証の仕組みの導入など、さまざまなことにチャレンジしています。
── これからのFIDO技術はどのような進化を見せるのでしょうか。
五味：FIDO認証はウェブサービスに止まらず、無人店舗の入退館や決済、車のシェアリングサービスにおける共有自動車のキーの解除やセッティングなど、リアル領域にも拡大していくでしょう。
それと同時に、他の認証技術と組み合わせて、利用シーンが増えることが期待されます。例えば身体動作の癖など身の回りの情報を取得することで、ユーザーに適切なレコメンドができるコンテキストアウェアネスというサイエンス領域がありますが、FIDOなどのパスワードレスの標準化技術もその一部として使われていくのではないでしょうか。
ヤフーは、Yahoo! JAPAN IDを基に自社のさまざまなウェブサービスを連携させるだけでなく、今はヤフーの外のサービスにもYahoo! JAPAN IDを広げています。さらに、FIDOアライアンスの加盟企業として、FIDOによる認証サービスをいち早く加えることができました。
今後もリアルな世界を含めたあらゆる機会に対して、パスワードレスによるシームレスで安全なサービスを提供していきたいと考えています。
