Webでの生体認証をヤフーさまとともに

2016年11月10日(木)に開催された報道関係者向けのイベント「Windows Innovation Day」では、ペンで絵を描くことの楽しさを伝えるべくピクシブ様と取り組んで行きますという発表以外にも、もう一つ重要な発表がありました。それは、ヤフー株式会社様と株式会社ドワンゴ様にWindows Helloへの対応を表明いただいたことです。

Windows Helloとは、Windows 10に搭載された生体認証の機能で、ユーザーの生体情報である「顔」や「指紋」で、Windows 10デバイスへのサインインが可能になります。サインイン以外でも、Windows ストアで有料のアプリやゲームを購入して決済のページに進むときの認証や対応しているWindows ユニバーサルアプリで利用することができましたが、Windows 10 Anniversary Updateでは、Microsoft EdgeでもWindows Helloが利用できるようになりました。

昨今、ECサイトなどのWeb上の決済や確定申告をはじめとした公共サービスのように社会的に影響の大きな Webアプリや業務アプリでは、パスワードの再入力、電話などの公共性の高い個人デバイスとの連携認証、IDカードとの接続（とそのための煩雑なセットアップなど）によって確実に本人であることを保証してから利用するのが一般的です。Microsoft EdgeによるWindows Hello への対応は、こうした分野に威力を発揮します。

今回のヤフー株式会社様と株式会社ドワンゴ様による対応表明は、将来的にMicrosoft EdgeからYahoo! JAPANやniconicoにログインするときにWindows Helloによる生体認証がご利用いただけるようになることを意味します。

Windows Innovation Dayでは、ヤフー株式会社のIDソリューション本部 本部長の森 健様とIDログイン サービスマネージャーの伊藤 雄哉様にご登壇いただき、なぜ、Yahoo! JAPANがWindows Helloへの対応を検討しているのかをご説明いただきました。

Yahoo!ショッピングやYahoo!ニュースなど、現在、ヤフー様が提供しているサービスは100以上に上り、それらのサービスはYahoo! JAPAN IDで連結されているそうですが、この連結から得られるデータはユーザーへのおもてなしのために利用されているとのことです。まさにマルチビッグデータカンパニーですね。

あらゆるユーザー、デバイス、サービスからデータを取得するためには、ログインしていることが大切です。しかしながら、現実的には月間で1億5000万回を超えるログインが試行されており、これは1ユーザーあたり、月に平均3回以上、ログインされていることになるそうです。ご提案の前にはWebでのログインはさほど問題にはなっていないのではないかとも考えていたのですが、なるほど、毎月、これだけのログインが試されているのですね。

月間3,600万を超えるYahoo! JAPANのアクティブユーザーに常にログインをした状態で使っていただくためには、ログインの利便性とセキュリティを高めていく必要がある。ヤフー様ではそのように考えられて、以前から生体認証技術に注目、その技術を検証されていました。

顔をかざすだけ、指でなぞるだけでログインできる生体認証は、パスワードを入力する煩わしさから解放されますし、パスワードを記憶することも不要になるので、パスワードを忘れてしまった、入力を間違えてしまったという事態も防げます。しかも、ユーザーの生体情報が認証の「鍵」となりますので、パスワードのハッキングやリスト型攻撃、なりすましへの対策にもなります。

ただ、生体認証を利用するためには、生体情報を読み取るセンサーが必要です。ヤフー様のようなサービス事業者にとって、そのセンサーを搭載したデバイスが普及しているかどうかは大きな課題です。さらにWebのように広く遍く、多種多様なデバイスで利用されるサービスではプロトコルの標準化も重要な課題となります。

プロトコルの標準化は、FIDO Allaianceという標準化団体が、オンラインでの新しい認証技術の標準化を目指して仕様策定に取り組んでおり、ここで策定された「FIDO 2.0」という仕様はWebの標準化団体であるW3Cに提出されて、Web Authentication API として仕様策定が進められています。ヤフー様はFIDO Alliance Memberとして参画されており、昨年、日本で開催された「第2回 FIDOアライアンス東京セミナー」でもスピーカーとして参加されていました。参考までにFIDO AllaianceのBoard Levelメンバーは、マイクロソフトやGoogle、PayPalなどで構成されています。

「Microsoft EdgeでWindows Helloが利用できる」というとマイクロソフトの技術で実装されていると思われるかも知れませんが、Windows Hello自身がFIDO 2.0に準拠しており、技術的には「Microsoft Edgeに、FIDO 2.0を元にW3Cで仕様策定が進められているWeb Authentication APIが実装された」とも言い換えられます。つまり、Windows Hello自体も、Microsoft EdgeでWindows Helloが利用できることも、標準技術に準拠しているので、いずれ、他のブラウザーがWeb Authentication APIを実装したときには、そのブラウザーからもWindows Helloと同等のFIDO準拠の認証がご利用いただけるようになります。

Windows Helloを使ったMicrosoft EdgeでのWeb開発にご興味にある方は、弊社のエバンジェリストである松崎がブログで詳しく解説しておりますので、ご興味のある方はぜひご覧ください。

一方で、Windows Hello対応デバイスも順調に広がっています。今回発表された新モデルでも多くの機種にWindows Helloにご対応頂きました。マウスコンピュータさまからは外付けのWindows Hello対応の顔認証カメラや指紋認証リーダーが発売されています。標準プロトコル、対応デバイスともに準備が整い、生体認証によるユーザー認証が現実的な環境になりつつあります。

ヤフー様と弊社の共同で開発した、Yahoo!ショッピングでWindows Helloによる認証を行っているサンプルの画面がこちらです。注文手続きを進めるときにWindows Helloが自動的に立ち上がって、認証していることが分かります（顔認証を使用しました）。

注：開発中のサンプルです

今年の9月28日にW3C Working Draftとして公開されていた仕様は、11月22日にEditor’s Draftとして公開されました。仕様策定に関わっているメンバーに確認したところ、そう遠くない将来、本仕様は最終版になるようです。

ヤフー様が進められている「ログインのアップデート」を弊社でもお手伝いしたいと考えています。

ユーザーのみなさまがYahoo! JAPANのサービスにWindows Helloでログインできる日を目指してヤフー様と進めて参りますので、その日を楽しみにお待ち下さい。