パスワードレス認証がもたらすユーザー体験の向上と実装方法のポイントとは

パスワードレス認証がもたらす ユーザー体験の向上と実装⽅法のポイントとは 池原⼤然 プリンシパルデベロッパーアドボケイト Okta Japan株式会社 © Okta and/or its © affiliates. Okta and/or All rights its affiliates. reserved.AllConfidential rights reserved. Information Confidential of Okta Information – For Recipient’s of Okta Internal – For Recipient’s Use Only. Internal Use Only.

⾃⼰紹介 池原 ⼤然（いけはら だいぜん） Okta Japan株式会社 プリンシパルデベロッパーアドボケイト Email: [email protected] Twitter: @Neri78 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

セーフハーバー このプレゼンテーションは、 1995年私募証券訴訟改革法 (Private Securities Litigation Reform Act of 1995) の「セーフハーバー」条項が規定する「将来の見通しに関する記述」を 含んでおり、これには当社の財務見通し、製品開発、事業戦略および計画ならびに市場動 向、機会および位置づけに関する記述が含まれますがこれらに限定されません。これらの将 来の見通しに関する記述は、現在の予想、見積、予測および見通しに基づいています。「期 待する」、「予想する」、「はず」、「信じる」、「希望する」、「目標とする」、「見積もる」、「目標」、 「推 定する」、「可 能 性」、「予 測する」、「可 能 性がある」、「するつもりである」、「かもしれな い」、「あり得る」、「意図する」、「行う予定」、およびこれらの用語のバリエーションや類似の 当社の信用が損なわれ、大きなコストを負担することになる可能性があること、サービス 停止を含む当社の技術に関連した中断やパフォーマンスの問題が生じる可能性がある こと、および当社の転換社債を期限までに返済できない可能性があることなどが挙げら れます。当社の業績に影響を与える可能性のある要因に関する詳細は、当社の最新の アニュアルレポート（フォーム 10-K）およびその他の米国証券取引委員会への提出書類 に記 載されています。このプレゼンテーションに含まれる将 来の見 通しに関する記 述 は、このプレゼンテーションの日時点での当社の見解を示すものであり、当社はこれら の将来の見通しに関する記述を更新する義務を負わず、またその意図もありません。 表現は、将来の見通しに関する記述を識別することを目的としていますが、すべての将来の 見通しに関する記述にこれらの識別語が含まれているわけではありません。将来の見通しに 関する記述は、多くのリスクや不確実性の影響を受けますが、その多くは当社のコントロー ルを超えた要因や状況を含んでいます。例えば、当社製品の市場の発展が予想以上に遅 かったり、過去よりも遅かったりする可能性があること、当社の業績が予想以上に変動する 可能性があり、当社の収益認識などに関連した当社の業績およびキャッシュフローが大幅に 変動する可能性があること、 Auth0, Inc.を含む新規ビジネスの統合を成功裏に行うことがき ない可能性があること、重要な人員を維持することができない可能性があること、世界的な 経 済 状 況が悪 化する可 能 性があること、当 社のネットワークまたはデータまたはお客 様の データへの不正アクセスを可能にするネットワークまたはデータのセキュリティ事故により © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only. このプレゼンテーションで言及されている未発売の製品、特性または機能は現在入手 可能なものではなく、予定通りに、または全く提供されない可能性があります。製品ロー ドマップは、製品、特性または機能を提供することを確約する、その義務を負う、または 約束するものではなく、お客様は、購入の意思決定を行う際に、それに依存しないで下 さい。

アジェンダ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only. 01 はじめに 02 認証にまつわる○○ 03 WebAuthnとPasskeysが 実現するパスワードレス認証 04 まとめ

◼はじめに © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

偉い人「認証、認可機能を実装せよ」 にわかにつら ● ● ● ● 認証の実装⽅法が「わから」ない 正しく実装 しているか「わから」ない ⾃前の実装を保守するのが「つらい」 最新の認証⽅式に対応するのが「つらい」 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

Okta Customer Identity Cloud, powered by Auth0 ~ 顧客向けサービスに求められるユーザ認証、認可の機能を提供 ~ サインアップ‧ ログインUI 認証連携 シングル サインオン (SSO) 65種類のSDK パスワードレス 不正アクセス検知 多要素認証 (MFA) ユーザ権限管理 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

「にわかにつら」を解消し開発運⽤コスト削減とUXを追求 ● 開発者フレンドリーなプラットフォーム ● 利便性‧安定性‧セキュリティを追求 ● リリースまでの期間短縮 ● 移り変わる認証トレンドへの追随 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

ユニバーサルログイン Webのサインアップ、ログインUIをOktaが提供する認証サーバで提供 ● ● ● ● 開発運⽤コストの軽減 SSOの実現 セキュリティの向上 アプリケーションを変更せずに認証機能を変更可能 OpenID Connect / SAML アプリ1 ユーザ アプリ2 ログイン時にリダイレクトし ログイン後にアプリへ戻る ユニバーサル ログイン © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

◼認証にまつわる〇〇 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

パスワード認証には課題が多い たとえば 「Password」「qwerty」などの ⼀般的なパスワードは推測されやすく すぐに突破されてしまう 複雑化する要件 パスワードの要件 ● 特殊⽂字 ● 記号 ● 最⼩⽂字数 ● ⼤⽂字 ● ⼩⽂字 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

管理が難しい... ユーザーの負担が増える ● おぼえられない ● 使いまわしたくなる ● 別途ツールが必要 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

これまでの多要素認証 (MFA) にも懸念はある MFA = Multi-Factor Authentication チャネルの特性 ユーザー体験 フィッシング Authenticator カバーエリア 遅延 コスト SIMスワップ ユーザビリティ 適応性 脆弱性 デバイスや アプリの セキュリティ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

◼WebAuthnとPasskeysが 実現するパスワードレス認証 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

WebAuthentication (WebAuthn) - パスワードの代わりに公開鍵暗号⽅式を使⽤し、 登録したデバイスを要素として使⽤ - 公開鍵暗号化に基づく世界的な認証標準 - 機密情報をオンラインで保護するためのより良い代替⼿段 - 主要なブラウザでサポートされるブラウザベースのAPI WebAuthn の仕組み（Web認証の種類と認証）- https://www.okta.com/jp/resources/whitepaper-how-webauthn-works/ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

• https://www.okta.com/jp/resources/whitepaper-how-webauthn-works/

WebAuthnの動作を確認できるサイト サイト - https://webauthn.me/ ソースコード - https://github.com/auth0/webauthn.me © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

• https://webauthn.me/
• https://github.com/auth0/webauthn.me

Passkeys - マルチデバイス対応FIDO認証資格情報 - パスワードレス認証を実現 - WebAuthn仕様で定義されている JavaScript APIを使⽤ - FIDO資格情報をクラウドを介して複数の デバイス間で共有できる Auth0 Blog - https://auth0.com/blog/our-take-on-passkeys/ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

• https://auth0.com/blog/our-take-on-passkeys/

デモ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

？ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

考慮点 - ユーザーの体験をどう設計するか - ユーザーが使⽤してくれないと始まらない - 現在の認証⽅式を使っているユーザーに対してどう誘導する？ - 認証器を持たないユーザーに対する体験は？ - 例: スマホを持っていない⼦供達はどうする？ サービス提供側としては頭が痛い... © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

Auth0 labにおけるPasskeys機能の試験提供 Auth0 lab - https://lab.auth0.com/ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

• https://lab.auth0.com/

© Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only. © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

設定画面 © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

生体認証が利用できる場合は そちらを優先し © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

◼まとめ‧リソース © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

まとめ‧リソース - パスワードレス認証の特⻑と考慮する点 - 導⼊に際してはいろいろなタイプのユーザー体験を検討 - 「にわかにつら」を解消し、最新の認証⽅式に対応する Okta Customer Identity Cloud - ホワイトペーパー：マルチデバイス対応FIDO認証資格情報 - https://fidoalliance.org/white-paper-multi-device-fido-credentials-jp/?lang=ja ritou: Developers Summit 2023にてパスキーについて講演しました - https://zenn.dev/mixi/articles/fdf9236f86ea29 Auth0 Blog - https://auth0.com/blog/our-take-on-passkeys/ © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

• https://fidoalliance.org/white-paper-multi-device-fido-credentials-jp/?lang=ja
• https://zenn.dev/mixi/articles/fdf9236f86ea29
• https://auth0.com/blog/our-take-on-passkeys/

Okta Customer Identity Cloudをぜひお試しください https://a0.to/jp-cic-dev © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

• https://a0.to/jp-cic-dev

9/7(⽊) にワークショップを開催します。触ってみようOkta！ 〜ゼロからわかる、はじめてのOkta Customer Identity Cloud (Powered by Auth0) ハンズオン〜 https://regionalevents.okta.com/cicwebinarseptember © Okta and/or its affiliates. All rights reserved. Confidential Information of Okta – For Recipient’s Internal Use Only.

• https://regionalevents.okta.com/cicwebinarseptember