解説

FIDO（Fast IDentity Online）UAFは、パスワードに依存しない認証を実現する規格です。その最大の特徴は、利用者の生体情報（指紋・顔など）をネットワークに送らず、利用者の手元の端末（認証器）内だけで生体認証を行い、その結果として端末内に保管された秘密鍵でディジタル署名を生成し、その署名だけをサーバへ送る点です。サーバは対応する公開鍵で署名を検証して本人を認証します。生体情報そのものや秘密鍵が端末外に出ないため、漏えいやサーバ側での集中管理に伴うリスクを避けられます。選択肢bの「スマートフォンで顔認証を行った後、スマートフォンの秘密鍵でディジタル署名を生成して、そのディジタル署名を認証サーバに送信した」が、まさにFIDO UAFの仕組み（ローカルでの生体認証＋秘密鍵による署名の送信）を表しているため正解です。他の選択肢は、ワンタイムパスワードの送信、クライアント証明書の送信、生体情報そのものの送信であり、いずれも生体情報を端末内に留めて署名だけを送るFIDO UAFの本質とは異なります。生体情報や秘密鍵を外部に出さない、という点がFIDOの安全性の核心です。

なぜ他の選択肢は違うのか

選択肢 ア

「PINコードとトークンが表示したワンタイムパスワードとをPCから認証サーバに送信した」は、ワンタイムパスワードトークンによる認証の説明です。生体認証を端末内で行い秘密鍵で署名するFIDO UAFとは仕組みが異なり、認証情報そのものをサーバへ送る点でもFIDOの考え方と異なります。認証情報そのものをサーバへ送る方式であり、生体認証を端末内で完結させ署名だけを送るFIDO UAFとは、認証情報を外部に出すか否かという点で根本的に異なります。

選択肢 ウ

「カードリーダでキャッシュカードからクライアント証明書を読み取って認証サーバに送信した」は、クライアント証明書を用いた認証の説明です。生体認証と秘密鍵による署名を端末内で行うFIDO UAFとは異なり、FIDOの「生体情報を端末外に出さず署名だけを送る」仕組みとは別の方式です。クライアント証明書を読み取ってサーバへ送る方式であり、端末内の生体認証と秘密鍵による署名を用いるFIDO UAFとは、認証の仕組みが大きく異なります。

選択肢 エ

「スマートフォンを使い指紋情報を読み取って、その指紋情報を認証サーバに送信した」は、生体情報（指紋）そのものをサーバへ送信しており、FIDO UAFの考え方に反します。FIDOは生体情報を端末内に留め、外部に送らないことが安全性の要であり、この方式とは正反対です。生体情報である指紋をサーバへ送信しており、生体情報を端末内に留めて署名だけを送るというFIDOの安全性の要に真っ向から反するため、誤りです。

解くときのポイント

FIDO UAF＝生体認証は端末内で完結させ、生体情報も秘密鍵も外に出さず、署名だけをサーバへ送って公開鍵で検証。生体情報そのものを送る方式や、ワンタイムパスワード・クライアント証明書とは区別する。