OpenID Summit Tokyo 2024クィックレビュー

こんにちは、富士榮です。

とうとうやってきました。OpenID Summit Tokyo 2024が開催されましたのでクィックレビューです。

OpenID Summitは約4年に一度、東京で開催されてきたイベントで2011年、2015年、2020年、そして今年2024年は4回目となります。

前回の開催はコロナ禍の直前ということで、本当にこの4年間は色々と世の中が変わってしまいましたが無事に開催に漕ぎ着けられて本当に良かったと思います。

ということで早速。

OIDF Strategic Outlook for 2024 and Briefing on the Sustainable Interoperable Digital Identity (SIDI) Summit in Paris

まずはGailのキーノートからです。

OpenIDテクノロジーの利用拡大、ワーキンググループを含む活動、ホワイトペーパーの発行、政府その他とのパートナーシップ、、本当に多くの活動が行われていることがわかります。

また、昨日のWorkshopでも話がありましたが、OpenID Ecosystemを構成する上で、Open DataをAPIなどで接続していく必要がありますが、そのためには通貨におけるクレジットカードのように結節点となる仕組みが必要であると考えられます。

また、セキュリティを考えるとShared Signalsでリスク情報を共有する仕組みなども重要になります。

そして、SIDI Hubの話です。SIDI Hubの目標について「To define what we need to achieve global interoperability for digital identity.」と解説しています。この辺りは当然のことながら先ほどのOpen Dataの接続という文脈とも繋がります。

上記のようにたくさんの国や団体が興味を持ち参加していいます。

サーベイの結果では、参加者の92%がこの取り組みを継続するべきであると考えているという結果が出ている。そのくらいこの取り組みは重要なものである。

実際に接続するためにはテクノロジだけではなくTrust Framework同士のマッピング（相互運用）まども必要になるということにも触れられました。

OpenIDファウンデーション・ジャパン ワーキンググループ活動報告

まずはKDDIの小岩井さんからKYCワーキンググループの紹介です。

すでに5年目に突入ですね。延べ290人の方が参加、合計5つのホワイトペーパーを発行しています。4年前のOpenID Summit Tokyoで最初のホワイトペーパーの発表をしたのは懐かしいです。

サブワーキンググループの紹介もありました。

• 次世代KYCサブワーキンググループ
• OpenID for Identity Assuranceの国内向けのプロファイルを策定中
• 法人KYCサブワーキンググループ
• 法人に対するKYCの現状整理
• 今年中にレポートを発行する予定

アクティブに活動していますね。

続いて、エヴァンジェリストのnovから翻訳ワーキンググループの活動報告です。

このワーキンググループの特徴は会員企業以外でも翻訳活動に参加できることです。昨年はNIST SP800-63-4の翻訳をしました。

同じく続いて理事・エバンジェリストのkuraからデジタルアイデンティティ人材育成ワーキンググループの紹介です。今年度新しく設立されたワーキンググループですね。

ID人材育成の悩みはみんなが持っているのでOpenIDファウンデーションジャパンの中でワーキンググループとして組成することで協調的な学習環境、実践と理論の結びつきのシェア、継続的な議論と建設的なフィードバックを得ることができるのではないか、と考えてワーキンググループ組成に至っています。

現在18社42名の方々が参加し3つのサブワーキンググループを組成しています。

• 技術サブワーキンググループ
• ビジネスサブワーキンググループ
• 翻訳サブワーキンググループ

2024年夏〜秋には書籍の出版を目指します！

Panel: Celebrating Ten Years of OpenID Connect

次は10周年を迎えるOpenID Connectに関するパネルディスカッションです。

Mike Jones、崎村さん、nov、ritouの４名でのセッションです。みんなOpenID Connectを創って育ててきた人たちですね。

改めてOpenID Connectの設計思想が紹介されました。

• Keep simple things simple
• Make complex things possible

今でも新しいプロファイルを作成する際など、しばしば思い出す本当に大切な原則です。

もう一つの原則である「Extensible by Design」についても語られました。

エコシステムを作る上で非常に重要ですね。フレームワークとプロファイルを分割するモジュラー型の思想で作られている仕組みなので例えばLogoutやIdentity Assuranceなど用途によって仕様を拡張していくことができている、というわけです。

この10年で達成したこととして以下が紹介されました。

• 最も使われているIdentityプロトコルとなった
• 数千の相互運用のある実装が行われている
• 認定プログラムが開発され活用されている
• ISOのPAS認定を受けた

Novの番です。

元々のOpenID Connectに関するモチベーションはFacebook Connectだったそうです。ところが、結構動きがおかしいことが多かったとのこと。そしてある日突然FacebookがFacebbok ConnectをOAuth2.0ベースにする、という発表が行われそれまでの開発物が全て水の泡に・・・しかしOAuth2.0ベースになったことでシンプルかつ安定した実装になったので「これは素晴らしい」ということでRubyのライブラリを書いた、とのこと。その後OAuth2.0ベースでOpenID Connectが開発されるということで先のRubyのライブラリを拡張する形でOpenID Connectの開発に関わるようになって行った、、というエピソードが紹介されています。

また最近感じていることとしてdo business on complex thingsになってきているところに技術をどう追いついていくか、というのが課題になってきているということです。例えば金融シナリオなどFAPIをサポートする必要が出てきている（つまり複雑なことをやる必要がでてきた）なかで、従来のライブラリでは動かなくなってきている、この辺りの状況つまり、ビジネス化をするためには複雑なことをしないといけなくなってきた、という状況を今後どのようにシンプルにしていくのか、というのが次のテーマだ、という話です。たしかに。

次はritouです。

当時はフィーチャーフォン全盛だったのでURL長の制限があったり、JavaScriptのサポートが不足していたりということでOpenID 2.0を日本のモバイルデバイスで動かそうとすると色々な課題があったとのこと。そこでバックチャネルでも動かせる仕組みが当時SAMLにもあった（Artifact Bindging）ので、これをOpenIDの世界にも持ち込んだらどうだろうか、という流れだったということです。

そして最後は崎村さんです。

案の定時間がないので詳細はこちらから（笑）

昨晩、Youtube Liveでやっていた「25 years of OpenID」のセッションですね。

初期のデザイン原則として以下を掲げたとのことです。

No canonicalization

ASCII Armoring

JSON

REST

しかし、当時JSONの署名の仕組みすらなかったのでJSON Simple SignatureをIIWで発表したが当時MicrosoftにいたMike Jonesと合流してJWx（JWT、JWS）へ繋がった、

その後、Dick Hardtらが提案してきたOAuth WRAP（当時のOAuthから署名を取り去ったもの）が出てきて、のちのOAuth2.0へ繋がった、という話もありました。

JWT、JWS、OAuth2.0の流れがOpenID Connectに繋がった、ということですね。

結果的に成功要因としてこのような教訓が紹介されていました。

Developerのフィードバックに耳を傾ける

解決できなかったことを解決する

正規化しない

シンプルなユーザケースのためのシンプルな実装

セキュリティとプライバシー

＊＊＊＊＊

ここから午後のセッションです。

テーマは「Cutting Edge OAuth/OIDC」ということで最新の仕様の一つであるOpenID for Verifiable Credentialsの関係、特にWalletのユースケースについてEUの事例を中心に話がありました。

EU Digital Identity Wallets (eIDAS 2) - status and way forward

まずはTorsten Lodderstedt博士によるEU Digital Walletの話です。

EUDIW（EU Digital Identity Wallet）はユーザが自身をIdentifyした年齢を証明したり、医療証や免許証や学位などを保持・提示したり、契約に署名したり、支払いを行うために利用することができます。

Coreコンセプトとして以下の要素が紹介されました。

• Personal Identity Data（PID）
• Electronic Attestation of Attributes（EAAs）
• Qualified Electronic Attestation of Attributes（QEAA）
• 特にEAAの中でもQTSP（Qualified Trust Service Provider）によって発行されたものを指します。

こちらがEUDI Walletの全体像です。

前述のEU Walletの役割を考えると、全てのWalletは認定されている必要があり、そのための認定の仕組みが重要となります。

そして、eIDAS2で定められているリファレンスアーキテクチャ（ARF/Architecture Reference Framework）の中ではOpenID関連の標準技術を使うことが定められ絵います。

プロトコル

• OpenID for Verifiable Credentials
• ISO 18013-5

クレデンシャルフォーマット

• SD-JWT
• ISO mdoc

※PIDsは両方のフォーマットで発行される必要があります。

また現在ディスカッション中のテーマとしてこれらの事項があるそうです。

• ペイロードとしてW3C JWT VCsを使うかSD-JWT VCsを使うか
• WalletのトラストとWalletのライフサイクル管理
• RPやIssuerのトラスト
• PIDと(Q)EAAsの間のIDマッチングやリンク
• オンラインの仮名での認証

特にVCのペイロードの話でSD-JWT-VCの話は熱い話題でした。ざっくりいうとSD-JWT-VCがシンプルでいいよね、って話でした。

Waiting for the EUDI Wallet: Securing the transition from SAML 2.0 to OpenID Connect

次はAmirさんの話です。Kim Camronアワードを受賞している人ですね。

今回はイタリアのデジタルアイデンティティエコシステムについて話してもらいます。

イタリアでは以下の２つのIDシステムを使っているそうです。

• SPID：Public Digital IdentitySystem（デジタルID）
• CIE id：based on the Electronic Identity Card（物理カード）

そして最近Digital Identity System（SPID）をSAML2.0からOpenID Connectへ移行を始めたそうです。

イタリアのプロファイルの特徴はOpenID Federation 1.0とOpenID Connect iGov Profileを使っているところかもしれません。

特にOpenID Federationを利用している理由として、Dynamic、Scalabe、Transparentを挙げていました。

また、OpenID ConnectのフローとしてはAuthorization Code Flow with PKCEを採用しているそうです。※SAMLからの移行ならImplicitの方が楽だったんじゃ？と思いましたが他国のことなので黙っておきます。

また、EU DIWによるパラダイムの変化について語られましたが、やはりIdP/OPへのリダイレクトモデルからの脱却がポイントになっているようですね。

すでにモバイル運転免許証をはじめとする大規模パイロット運用が始まっているんですね。

　

イタリアの方ということもあり、次回のOAuth Security Workshopの紹介もありました。

Insights into Open Wallet Foundation's initiatives

次はJosephによるOpen Wallet Foundationの活動に関するセッションです。

Linuxファウンデーションの参加ということもあり、OSSの優位性である早くて安いというところを全面に押し出しています。

プロジェクトは多くのスポンサーによって支えられています。

残念あがら日本とのアクティブなやり取りはなさそうですが、この機会に何か協業ができるといいですね。

Open Wallet Foundationの中でも色々なプロジェクトが動いています。様々な言語でWalletの開発ができるのはとても良いことだと思います。

＊＊＊＊＊

次のブロックは「Auth/OIDCによるID/APIエコシステムの推進」というテーマです。

Trusted Webの実現に向けて

まずは内閣官房デジタル市場競争本部事務局次長の成田さんからTrusted Webの取り組みに関する講演です。

いうまでもなくTrusted Webはデジタル空間におけるトラストを構築する取り組みです。

”一握りの巨大企業への過度な依存”でも”監視社会”でもなく、DFFT（Data Free Flow with Trust）を実現するための”第三の道”を模索する取り組みで、ホワイトペーパー（現在第3版）の発行やこれまでに25の事業者による実証実験などにも取り組んできています。

一握りの巨大企業に過度に依存している状態である一番左側の状態と真ん中のすべてを検証する状態（ブロックチェーンの利活用など）のバランスをうまく取りながら検証と信頼のバランスをとる世界観を目指しています。

2022年度に選定されたユースケースは個人属性情報（学習・就業・共助実績）、法人と行政庁との情報のやり取り、サプライチェーンにおける情報のやりとり、の3つにカテゴライズされます。全てのケースにおいてやり取りややり取りされるデータ、そしてやりとりする相手方を検証することで信頼性が高まり、確認コストの削減や不正の削減などに役立てることができるという話です。

アーキテクチャとしてはオーバーレイアプローチを取ります。

アーキテクチャを構成するコンポーネントとしては、

• Verifiable Data：検証可能なデータ
• Verifiable Message：検証可能なメッセージ交換）
• Verifiable Identity：検証可能なアイデンティティ（コミュニティによって裏打ちされる）

が存在します。

そして、アーキテクチャと合わせて

• Trusted Webという考え方自体に関するガバナンス
• Trusted Webの考え方に準拠したトラストフレームワーク提供者に関するガバナンス
• トラストフレームワークに従って構成・運営されるシステムに関するガバナンス

の階層構造のガバナンスも重要となります。

そして、実際に事業者がシステムとして実装する際に参照可能な実装ガイドラインもgithub上で公開されています。エンジニアの方々はぜひ見ていただき積極的に議論に参加してください。

またこのような取り組みはグローバルな取り組みとして推進していく必要があるのでG7群馬高崎デジタル・技術大臣会合においてTrusted Webの取り組みの発表、EUやカナダとの国際連携なども進めようとしています。

今後の活動として

• ユースケースの創出
• 企業・エンジニアによる取り組みのさらなる促進
• 社会実装の加速化
• 国際連携
• 全体として感が主導している他の取り組み（ウラヌス・エコシステムなど）との連携

が予定されています。

OpenID Federation 1.0: The Trust Chain vs The x.509 Certificate Chain

次はVladimirによるOpenID Federationの話ですね。

ざっくりいうとFederationの仕組みの中でTrust Chainを辿っていく仕組みです。

X.509におけるCertificate Chainを構成するものとして、

• issuer, subject
• not-before, not-after
• contrains
• public keys

が挙げられます。

一方でJWTでのTrust Chainを構成するものとして

• iss, sub
• iat, exp
• JWK Set
• trust mark
• contrains
• entity metadata
• metadata policies

が挙げられます。

こちらが比較です。

要するにX.509では公開鍵のアテストしかできない、ポリシーやメタデータで情報を伝えたりすることができないよね、という話です。

2035年にはCertificate ChainからTrust Chainに諸々置き換わってこんな状態が実現するのかもしれません（笑）

Passkeys and Identity Federation

次はエバンジェリストのritouからパスキーとフェデレーションの話です。

パスキーとID連携はどういう関係なのか？というのはよくある質問です。

その辺りをときほぐしていきましょう。

パスキーの課題として「アカウントリカバリ」「クロス・プラットフォーム同期」などが挙げられます。

一方でID連携は、

• 認証方式の一つ
• メールアドレスの確認
• 本人確認済み状態のやりとり

などの用途で使われています。

例えば単純に認証方式として比較するとパスキーの優位点はConditional Mediationとの組み合わせによるUX改善やプライバシーリスクの削減、再認証に使いやすいなどが挙げられます。

そういう意味でID連携の弱点をUXなどの面でパスキーが補強する使い方もありますし、パスキーに対応していない環境をサポートするためのID連携を使う、という補完関係にあると言えます。

OpenID Connectのacr/amrと組み合わせて認証コンテキストや方式を要求する場合にパスキーと組み合わせるということができます。

同様に再認証のユースケースではauth_timeやmax_age、login_hint、id_token_hintを使って確実に再認証させることもできるようになります。

RFC 9470のOAuth2.0 Step Up Authntication Challenge Protocolを使うと例えば決済APIへのアクセスをする際、JWTベースのアクセストークンの中身を保護対象リソース側で見てacr_valuesを指定して追加認証を求めることで安全性を高めるなどもできるようになります。

＊＊＊＊＊

次のトラックは「ビジネスへのOAuth/OIDC活用事例」というトラックです。

ビジネスという意味では2つの側面があると思います。一つはOAuth/OIDCを使ったシステムを使ってどのようにビジネスを推進しているのか、いわゆる事例の話、そして二つ目はビジネスを進める上で必要となるアイデンティティ・エキスパートの育成・チームの組成というテーマです。

まずはブラジルのNuBankの事例からです。

The progress of Nubank and Open Finance in Brazil

NuBankのOpen FinanceのGeneral ManagerのLucianaさんから事例の紹介です。

90M以上の顧客を持つということなので巨大な銀行ですね。

クレジットカード、投資、ローン、などを含め総合的にサービス展開をされているようです。

インハウスでシステム開発を進めることで諸々の意思決定を含むコントロールができる状態を作り出しているんですね、素晴らしいです。

Open FinanceがRegulatoryドリブンなのかマーケットドリブンなのか、ハイブリッドなのかという話は国によって異なりますがブラジルはRegulatoryドリブン、日本と一緒なんですね。日本でももっとOpen FinanceやAPiエコシステムが浸透するといいですね。

ブラジルでは800もの事業者がOpen Financeエコシステムに参加しているとのこと、そうなるとOAuth2.0、OpenID Connect、FAPIが必要になります。そしてブラジルの標準を各仕様のリファインや範囲を限定することで最適化をしているそうです。

Open FinanceはNuBankのミッションである「金融サービスを再発明することにより人々の暮らしをエンパワーするために複雑性と戦う」というテーマにマッチしているということです。

そのために3つの柱を据えて取り組んでいるそうです。

• より良い金融面の意思決定をしてもらえるように人々を支援する
• 金融移管する生活体験を集中化、シンプル化する
• 従来のOpen Financeが提供するものを超えていく

非常に刺激的な事例でした。

事業の成長にどのようにID技術/IDチームが貢献してきたか - SoftBank の取り組み

次は小松さんからSoftBankでどのようにID技術やIDチームの存在が事業成長に繋がったのか、という話です。

まずはSoftBankにおけるID技術がどのように導入されてきたのか、という歴史の話です。

フィーチャーフォンからスマートフォンへのプラットフォームの移行、コンテンツビジネスから決済ビジネスへの拡大などこれまでの歴史について語られます。

その中でスマートフォン向けのサービスが増えていくとAPIアクセス保護の必要性が出てくることでOAuthやOpenID Connectの技術が必要になってきた、ということですね。

しかしながら、スマートフォンに切り替わるにつれて従来のガラケーの回線認証ではなくID/パスワードによる認証が必要となってきてしまい、問い合わせが殺到、スマートフォンでも使える回線認証を導入してきたということです。

一方でリスト型攻撃などの攻撃も激化、キャリア決済の不正利用なども増えてきたことから認証ポリシーの定義と複数要素での認証機能の追加を行ってきました。

その後、グループ企業とのシナジー創出が事業課題となってきた時代も出てきます。

その際もID連携技術が活躍したんですね。

全体を振り返ると「業界標準のOpenIDをありがたく適用させていただくだけで大体の課題を解決できた」とのコメントがありました。素晴らしい。

次のテーマとしてのチーム組成の話はみなさんにとっても大きな課題なんではないでしょうか？

要するに開発者からマネージャへ、という話ですがチームの設計は非常に難しいので小松さんの話はとても参考になります。

事業への貢献、新規ビジネスの創出、そして教育や業界への貢献などバランスをとりながらチーム設計をされています。

組織成長のための鍵としていろいろな観点で語られたのですがその中でも「ID技術のエンジニアである前に事業を支えるエンジニアになってほしい」という言葉は非常に重要だと思います。また、モチベーションとして「IDが好きかどうか」というのは重要な要素であることについても語られました。この辺りはOpenIDファウンデーションジャパンなどの場もうまく活用していっていただきたいと思います。

パネルディスカッション: 組織内に「IDチーム」を確立・拡大するには?

次は柴田さん、工藤さん、菊池さん、渡邊さんによるパネルディスカッションです。小松さんの話に続きチーム組成の話です。

工藤さんの経歴。サンマイクロシステムズ時代はiPlanetとかSun Identity Managerとかをやっていらっしゃいました。とてもお世話になりました。しかしちょうど10年ごとに転職してるんですねw

自身のキャリアとデジタルID分野との関係

• 菊池さん：自分で選んだ。新規事業をやることになりブロックチェーンを使ってデジタル身分証を作る、というプロジェクトがありやりはじめた。地味だけど無くなることはなさそう、というのが選んだ理由。結果的にブロックチェーンは使わなかったが。
• 渡邊さん：どちらかというと流れに任せてIDの世界へ。ECサイトの再構築などをやっているうちにIDのキャリアがある人に結果的になってしまった（笑）
• 柴田さん：同じくどちらかというと流れに身を任せた。前職で事業開発をすることになり、その場に崎村さんがいたのでアイデンティティを使って事業開発をすることになりはや15年、という感じ。

デジタルIDが自身のキャリアにどのように役立っているのか

• 渡邊さん：ECサイトの統合などの求人に対して自身の経験が目に留まることがあり転職につながった
• 柴田さん：コンサルの経験の中で技術の変遷とビジネスの変遷を幅広く知識を得ることができた。このような経験をしている人はID屋さん以外には少なく、希少性があがり転職につながった
• 菊池さん：転職の直接のきっかけ自体がOpenIDファウンデーションジャパンのイベントだった。デジタル庁自体が省庁の中ではスタートアップ的な雰囲気があるので、専門性に加えてスタートアップとしての経験が役に立った。

IDをやることの嬉しさ・辛さ

• 渡邊さん：サービスがたくさんある中でそれぞれに関われることがIDならではだと思う。辛さは絶対に止められない、という辛さ。前職でECサイトのログインサイトを止めて社長にブチギレられた経験も・・。ただ経験として止めてはいけないシステムを運営したのはキャリアとしては非常に貴重
• 柴田さん：ソリューションを提供する側だったので止めるとお客様にご迷惑をおかけする経験は辛いものがある。奥深いところが面白い。分野では法律などへ踏み込むことになるし、技術面でもインフラからアプリケーションのレイヤまで踏み込むことになるでいろいろな経験ができる

IDチームの構成は

• 渡邊さん：プロパーが10名くらい、あとは協力会社。みんながID経験があるわけではなく未経験の中から学んでいく。OpenIDなどの標準が整ってくることで学習効率があがり、育成していく中で何名かはID好きになってくる
• 柴田さん：クライアントの事例だが、個別の担当者ベースでやっているイメージがある。ポリシー変更などがあった場合は根性で対応されていることも多く、効率化するためにアドバイスをすることはある
• 菊池さん：デジタル庁はマトリクス型組織。アイデンティティユニットはPKIとアイデンティティをやっている。その中で法人、個人（マイナンバーカード）、などで担当が別れている。専門家がデジタル庁に集中しすぎ問題と言われるが普通にスカウトメールなど経由も多い。ただ最終面接する段階では誰かの知り合いだった、ということも多い

採用戦略

• 渡邊さん：採用時点ではID経験はとわないようにしている。ID業界は専門用語が多く裾野が広がりにくいと考えているので、なるべく専門用語を使わずに裾野が広いように見せていくことが大切だと思う。トークン、とか
• 柴田さん：同じく採用時点でIDを知っていることはないので育成をしていくことになる。数年単位で人材育成をしていくことになる。教育プログラムを作ったりしていた

IDの難しさとは

• 柴田さん：仕様はオープンだが、その仕様がなぜそうなっているのかが書いていない。なぜそうなっているのかをわからないとインテグレーションができないこともあり、口伝などで情報伝達をしないとうまくいかない
• 渡邊さん：OIDCがわかる本、を読んでもらうだけでは理解できないので自分で読んで解説するところまで必要。開発チームにも自分たちはOIDCに準拠しているのでちゃんと対応してほしい、と明確に伝える、伝え続けることが必要。標準を使うことで新しい人を呼び込むことにもつながる。独自で作るものを学ばされるよりも標準の方がメリットがある。ChatGPTに聴けるのも標準ならでは。
• 菊池さん：デジタル庁の中では国際標準を使うのがデフォルト。社会課題を標準仕様で解く、ということが必要だが存在する実装では実現できないこともあるので、他のチームと連携しながら解いていく必要がある

どうやってIDチームは交流していくのか

• 柴田さん：OpenIDファウンデーションに入ってもらう、イベントに参加してもらう。OpenIDファウンデーションジャパンにも人材育成WGがあるので是非参加してください！
• 渡邊さん：自社のIDチームに人を引き込むためにID業界としてこういうことがあると嬉しい、という観点だと「とっつきやすさ」だと思う
• 菊池さん：技術の専門家とユースケースを知っている人が別々、ということが多い。その交流ができる場があると補完関係になって良い
• 柴田さん：人材育成WGはビジネスサブWGと技術サブWGがあるので是非！

最後に

• 渡邊さん：IDチーム募集しています！とっつきやすいチームを目指しています！
• 菊池さん；IDユニット、引き続き人を募集しています。官民連携を進めたいと思います
• 柴田さん：絶賛採用中！
• 工藤さん：弊社も！（w

ということで最後は採用アピール大会になりましたがとても参考になりました。

＊＊＊＊＊

いよいよ最後のブロックです。

テーマは「日本のID界を盛り上げていきましょう」です。

Your Identity Is Not Self-Sovereign

まずはJustinからです。昨年のEICで彼の話を聞いて、とても面白かったので呼んでもらいました。

「Self」とはなに？というところから始まるわけですが、このセッションは動画で見ないと面白くないので動画公開をお待ちいただこうと思います（笑）

ヒントは牛丼ですねw

「Soverign」とは？

「Trust」とは？

そういえばNortonさんは米国の皇帝だって名乗っていたことありますねw

まさにSelf Sovereign。

Source of truthはどこに視点を置くかによって変わる、という視点も非常に重要ですね。

※これはUSの標準をありがたく参考にしている日本人は本当に考えないとダメだとおもいますよ・・・

そして最後は「Identity」

これはEntity - Identityモデルの話で自観と他観の話なわけですが、どうやって自分のアイデンティティを表明するのか、という話。

そう考えるとアイデンティティは受け取った側がどう受け取るのかによるわけですよね。これが他観の話。

つまり、自分がどういうアイデンティティを表明したかったとしても相手に受け取られた段階で自分では何のコントロールもできない、ということ。

これが自己主権型アイデンティティだと思っている人はしっかり考え直しましょう。

Closing Keynote

最後は崎村さんによるクロージングです。

テーマは「分散の誤謬」です。

最初にKim Cameron Awardのアナウンスがありました。OpenID Foundationがスポンサーとなっています。

本題です。

Web1.0、Web2.0の流れがあり、OAuthやOpenID ConnectはまさにWeb2.0の申し子なわけです。

OpenIDの基本コンセプトに立ち返ると自分のブログのアドレスを使ってサイトにログインしていく、というようなまさに自己主権型の仕組みでした。

しかしながらOpenID URLを使うと全てのサイトに対して同じ識別子を提供することになってしまうのでPairwise IDが作れないので、認証提供サイトであるOpenID Providerというエンティティが登場するわけです。これがOpenID Authentication 2.0。

しかし必然的に自分のアドレスではなくOPのアドレスを使うことになり、自己主権を犠牲にしているわけです。これは現在EUで起きているEUDIWの議論とも共通します。

XRIとかSXIPなどからOpenID Authentication 2.0への流れを見ていくとこの段階でGAFAは決してプレイヤーだったわけではありません。これを見ていくとWeb2.0が巨大新興企業が率いているという話は間違っていることがわかるわけです。むしろ当時のGAFAは巨人IBMを倒すことで民衆に熱狂を持って受け入れられた革命児だったはずです。

しかし、その流れで生まれてきたWeb2.0は極限まで分散されているにもかかわらず、なぜ巨大企業に支配されているのか？

Googleに売上の推移をみるとわかるとおり、IT産業は収穫低減のモデルなので富の集約は必然っていうことですね。

ではweb3はどうなのか？

「分散」という言葉を語るときに対象を明確化する必要があります。

そして集中と分散はバイナリではなくグラデーションがあるわけです。

そこに分散台帳を当てはめてみると、実は分散台帳は主体が一つの台帳を使うので完全集中だということがわかります。つまり完全集中しているシステムに「分散台帳」という名前をつけるマーケティングセンスは天才的だといえます。

分散型IDやWalletの世界に当てはめるとどうなるか。

Wallet＝IdPという世界観なのでIdPが個人のWalletに分散するという側面で物事が語られるのではないか？ただし個人のデータがWalletに集中することをみると分散ではないと思われます。

 Web2.0の文脈では世界中にIdPが分散していることもありある意味分散型。しかしWalletモデルで見るとIdP提供者よりもWallet提供者の数はずっと少ない状態であり、IdPモデルと比較すると集中していると言えるわけです。

つまり、web3の世界におけるWalletモデルもいずれWalletプロバイダへの集中やプラットフォームベンダへの集約が起きるのは必然となるわけです。

こうなると政策介入しかなくなるわけですが、一部の国がやっているように独立したアプリストアを許可するようにしたとしても本当に使われるのか。そしてさまざまなWalletを許可した場合、本当にそのWalletは信頼できるのか？実際にWalletからの情報流出の事故は発生しているわけです。

こういう形でみんなが分散しようとしても結果として集中が発生してしまう「分散の誤謬」というものが発生しているわけですね。

ということでご参加いただいた皆さん、お疲れ様でした。

動画は追って公開する調整が行われると思いますので残念ながら参加できなかった方も、もう一度見たい方も楽しみにしておいてください。

いよいよ明日からOpenID関連のイベントが開催されます！

こんにちは、富士榮です。

いよいよ明日〜に迫ってきました。4年に一度日本で開催されるOpenID Summit Tokyoが今週金曜日、2024年1月19日に渋谷ストリームで開催されます。また、その前日の18日（木）には米国OpenID Foundation主催のOpenID Foundation Hybrid Workshopが大手町のKDDIホールで開催されます。

すでにレジストレーションは終わってしまっていますのでこれから新規に申し込んでいただくことはできませんが、簡単に見どころを。

OpenID Foundation Hybrid Workshop

公式サイト：https://openid.net/registration-oidf-workshop-tokyo-2024/

アジェンダ：

Workshop Agenda

TIME	TOPIC	PRESENTERS
1:00-1:05pm	Welcome	Nat Sakimura
1:05-1:15pm	2024 OIDF Strategic Initiatives	Gail Hodges & Dima Postnikov
1:15-1:35pm	2024 OIDF-Japan Strategic Initiatives	Naohiro Fujie
1:35-1:50pm	AuthZEN WG Update	David Brossard
1:50-2:05pm	AB/Connect WG Update	Michael Jones
2:05-2:20pm	eKYC & IDA WG Update	Mark Haine
2:20-2:35pm	MODRNA WG Update	Bjorn Hjelm
2:35-2:50pm	DCP WG Update	Torsten Lodderstedt
2:50-3:05pm	OIDF Certification Program Update	Joseph Heenan
3:05-3:25pm	FAPI WG Update & FAPI Ecosystem Engagement	Nat Sakimura, Mike Leszcz & Elcio Calefi
3:25-3:50pm	SIDI Hub Brief & Survey	Gail Hodges
3:50-4:00pm	Q&A Panel & Closing Remarks	Nat Sakimura

OpenID Foundation Workshopは主要なアイデンティティ関連のイベントの周辺で開催されるもので、OpenID Foundationの各ワーキンググループの仕様策定状況のアップデートや関連するトピックスについて紹介されるワークショップです。最近OpenID Foundationが何をやっているのかを数時間でまとめて見ることができるので非常にお得なイベントです。

今回はOpenID Foundationの今後の戦略・方向性および各ワーキンググループからの発表に加えて、OpenIDファウンデーションジャパンが日本国内で行なっている活動について私が発表させていただくのと、最近OpenID FoundationもスポンサーとなっているSIDI Hub（Sustainable & Interoperable Digital Identity Hub）に関してOpenID FoundationのExecutive DirectoryのGail Hodgesから紹介される予定です。

OpenIDファウンデーションジャパンは米国OpenID Foundationの支援を受けて日本国内でOpenID関連技術の普及啓発を行うための法人ということもあり、他のOpenID Foundationのワーキングループとは少し違った動き方をしています。具体的には技術仕様の策定などのフォーラム標準化を行うわけではなく、あくまで日本国内における普及啓発活動が中心となり法人としても米国の法人とは独立したものとして設立されています。そのため、定期的に米国側への活動のレポートをすることで支援を受けているわけなのですが、グローバルのアイデンティティコミュニティにその存在や活動内容が知られる機会がそれほどあるわけではありません。今回は日本開催であること、ハイブリッド開催であり各国からも参加者がいることから良い機会ですのでOpenIDファウンデーションジャパンの活動を広く知ってもらう場として活用する予定です。

また、Gailが紹介するSIDI Hubについては、昨年11月にパリで開催されたTRUSTECH 2023の中で併催されたSIDI Hub Summitでは日本政府を含む各国政府も支援を表明しています。SIDI Hubはグローバルサウスを含む全世界におけるデジタルアイデンティティに関する持続可能で相互運用性が担保されたアイデンティティ層をどのように構築していくのか、を大きなテーマとして定義しています。今後、日本もこのような取り組みに積極的に参加することで国際社会での役割を果たしていくことが重要になってくると考えらますので注目しておく必要があります。

OpenID Summit Tokyo 2024

公式サイト：https://www.openid.or.jp/summit/2024/

アジェンダ：

時刻	Grand hall（同時通訳あり）	Breakout room
10:00 - 10:20	開会の挨拶 富士榮 尚寛 — 一般社団法人OpenIDファウンデーション・ジャパン 代表理事 曽我 紘子 — 一般社団法人OpenIDファウンデーション・ジャパン 事務局長
10:20 - 10:45	OIDF Strategic Outlook for 2024 and Briefing on the Sustainable Interoperable Digital Identity (SIDI) Summit in Paris Gail Hodges — Executive Director, OpenID Foundation
10:45 - 11:10	OpenIDファウンデーション・ジャパン ワーキンググループ活動報告 小岩井 航介 — KDDI 株式会社 サービス開発1部 ID・認証開発担当エキスパート Nov Matake — 一般社団法人OpenIDファウンデーション・ジャパン エバンジェリスト kura（倉林 雅）— 一般社団法人OpenID ファウンデーション・ジャパン 理事、エバンジェリスト
11:10 - 11:40	Panel: Celebrating Ten Years of OpenID Connect Moderator: Michael B. Jones — Building the Internet’s Missing Identity Layer, Self-Issued Consulting Panelists: Nat Sakimura — Chairman, OpenID Foundation Nov Matake — 一般社団法人OpenIDファウンデーション・ジャパン エバンジェリスト ritou — 一般社団法人OpenIDファウンデーション・ジャパン エバンジェリスト
11:40 - 12:50	休憩
12:50 - 13:15	EU Digital Identity Wallets (eIDAS 2) - status and way forward Torsten Lodderstedt — Federal Agency for Disruptive Innovation, Germany, Lead Architect, German EUDI Wallet project	デジタルアイデンティティの技術を学ぼう！ ～認証認可にまつわる標準仕様文書を読んでみよう～ 名古屋 謙彦 (ayokura) — GMOサイバーセキュリティ byイエラエ株式会社
13:15 - 13:40	Waiting for the EUDI Wallet: Securing the transition from SAML 2.0 to OpenID Connect Amir Sharif — Researcher at the Center for Cyber Security, Security & Trust research unit, Fondazione Bruno Kessler, Trento, Italy.	OpenID Connectの活用実績とLINEヤフーの会社合併におけるID連携の貢献 依馬 裕也 — LINEヤフー株式会社 マーケティングソリューションカンパニー ビジネスプラットフォーム 統括本部 ビジネスソリューション開発本部 ソリューションマーケティング部 部長 三原 一樹 — LINEヤフー株式会社 コミュニケーションカンパニー LY会員サービス統括本部 ID本部 部長 吉田 享平 — LINEヤフー株式会社 コミュニケーションカンパニー LY会員サービス統括本部 ID本部
13:40 - 14:00	Insights into Open Wallet Foundation's initiatives Joseph Heenan — Board Member, OpenWallet Foundation	AMA (Ask Me Anything) on OpenID Connect Michael B. Jones and OIDF-J evangelists
14:00 - 14:20	休憩
14:20 - 14:45	Trusted Webの実現に向けて 成田 達治 — 内閣官房デジタル市場競争本部事務局次長	OpenID Connect活用時のなりすまし攻撃対策の検討 湯浅 潤樹 — 奈良先端科学技術大学 サイバーレジリエンス構成学研究室
14:45 - 15:10	OpenID Federation 1.0: The Trust Chain vs The x.509 Certificate Chain Vladimir Dzhuvinov — Identity Architect, Connect2ID	メルカリアプリのアクセストークン: 独自仕様からOAuth 2.0 / OIDCベースへの切り替え グエン・ザー — 株式会社メルカリ IDプラットフォームチーム ソフトウェアエンジニア
15:10 - 15:30	Passkeys and Identity Federation ritou — 一般社団法人OpenIDファウンデーション・ジャパン エバンジェリスト	オープンソース・ソフトウェアへのOAuth 2.0ベースのセキュリティプロファイルの実装 乗松 隆志 — 株式会社 日立製作所 シニアOSSスペシャリスト
15:30 - 15:50	休憩
15:50 - 16:15	The progress of Nubank and Open Finance in Brazil Luciana Kairalla — Open Finance General Manager at Nubank	OIDFシェアードシグナルフレームワーク（ID2）を利用してリアルタイムでセキュリティシグナルを共有するための最新情報 Tom Sato — VeriClouds BoD (Seattle, US)
16:15 - 16:40	事業の成長にどのようにID技術/IDチームが貢献してきたか - SoftBank の取り組み 小松 隆行 — ソフトバンク株式会社 ビジネスシステム開発本部 デジタルID戦略部 部長	Verifiable Credential Demo ~ SD-JWT VC & mdoc/mDL issuance using OpenID for Verifiable Credential Issuance 川崎 貴彦 — 株式会社Authlete 共同創業者, 代表取締役
16:40 - 17:10	パネルディスカッション: 組織内に「IDチーム」を確立・拡大するには? Moderator: 工藤 達雄 — 株式会社Authlete ソリューション戦略担当VP Panelists: 柴田 健久 — PwCコンサルティング合同会社 サイバーセキュリティ＆プライバシー 渡邊 博紀 — 株式会社セブン&アイ・ホールディングス グループDX本部 グループデジタルシステムUnit シニアオフィサー 菊池 梓 — デジタル庁 アイデンティティユニット	(Closed)
17:10 - 17:30	休憩
17:30 - 17:55	Your Identity Is Not Self-Sovereign Justin Richer — Principal Architect, Authlete	(Closed)
17:55 - 18:20	Closing Keynote Nat Sakimura — Chairman, OpenID Foundation	(Closed)
18:20 - 18:25	閉会の挨拶 富士榮 尚寛 — 一般社団法人OpenIDファウンデーション・ジャパン 代表理事	(Closed)

見どころはなんといっても全体テーマにもなっているOpenID Connectの仕様がリリースされて10周年というところです。初期から仕様策定に関わってきた崎村さん、Mike Jones、OpenIDファウンデーションジャパンのエバンジェリストのnovさん、ritouさんがこれまでの歴史を振り返ります。

また、内閣官房の成田次長からは2019年のダボス会議〜同年のG20首脳宣言にも組み込まれたDFFT（Data Free Flow with Trust）の流れを汲むTrusted Webに関する取り組みを解説いただきます。同様にTrusted Webの構成要素にも深く関連するDigital Identity Walletに関するEUの動向などもドイツから来日されるTorsten Lodderstedt博士により解説いただきます。

他にもOpenIDファウンデーションジャパンのワーキンググループ活動の報告やIDチームの組成におけるディスカッションなど価値あるセッションが目白押しです。

当日は私もMCとして全体の進行役を務めさせていただきますが、またイベントが終了次第振り返りの情報を皆さんにも提供させていただこうと思います。

では、当日お会いできるのを楽しみにしています。

eKYCとOpenID Connectに関する最近のアクティビティ

こんにちは、富士榮です。

年明けから異常な忙しさでほぼ4か月ぶりの投稿になってしまいました。

今日はOpenID Foundationが今年から本格的に仕様化を進めているeKYC、ID保証に関する新しい仕様である「OpenID Connect for Identity Assurance」について紹介したいと思います。
ワーキンググループが始まったころは、ここまでリモートワークや非対面が重要になる、という局面を誰も予測していませんでしたが、ここに来てオンラインでのID保証、eKYCに関するニーズが本格化しているのは恐ろしい偶然としか言いようがありません。

尚、この「OpenID Connect for Identity Assurance」は、ちょうど1年程前から私もOpenIDファウンデーションジャパンのKYCワーキンググループをリードさせていただいている関係で共同議長を務めさせていただいている、米国OpenID FoundationのeKYC and Identity Assurance Working Groupで仕様策定が進められています。

ID保証（Identity Assurance）とは？

アイデンティティ管理に必ず付いて回るのが、デジタル・アイデンティティの精度や鮮度をはじめとする「信頼性」の課題です。

例えば、エンタープライズのシナリオでは、そのアカウントの持ち主はまだ在籍しているのか、権限付与に使っている役職は正確なのか？などといった「アイデンティティ・ライフサイクル」を管理するためにMicrosoft Identity ManagerやLDAP Managerなどの製品を使って効率的かつ正確なアイデンティティ管理を行います。

また、コンシューマのシナリオではいわゆる「KYC：Know Your Customer」といわれるID保証に関する課題を常に抱えています。これは例えば、サービスの利用を開始する際に登録する氏名や住所、年齢などの属性が本当に正しいのか？という「本人確認」や「身元確認」と言われる課題で、サービスの種類によっては利用者が一定の年齢を超えていることが法令で決められていたり、サービスの利用を許可するために必要な収入や本人到達性などの要件を満たす必要があったりするケースにおいては非常に重要なID保証のユースケースの一つです。例えば、金融機関におけるAML（Anti Money Laundering：マネーロンダリング防止）やオンラインゲーム等における年齢制限などがユースケースとして該当しますね。


ちなみにIDに関する保証レベルを綺麗に体系化しているのが「NIST（米国国立標準技術研究所）」が発行しているセキュリティに関するガイドラインシリーズ（SP/Special Publications）の800-63です。※通称NIST SP800-63
尚、NIST SP800-63は連邦政府内の情報保護の要件を規定している「NIST SP800-53」の中のデジタル・アイデンティティに関するガイドラインとして位置付けられていますが、連邦政府と取引をする民間企業を対象としてNIST SP800-53から抜き出す形で定義された「NIST SP800-171」にも同様に適用されることなどから、実質的にデジタル・アイデンティティの保証に関するデファクトスタンダードとなっています。

脱線を続けますが、NIST SP800-63では以下の3つの区分でID保証に関する規定をしています。

• Identity Assurance Level（IAL）：NIST SP800-63A
• ID登録を行う時の本人確認・身元確認の強度（自己申告＜非対面＜対面など）
• Authenticator Assurance Level（AAL）：NIST SP800-63B
• 認証器の強度（単要素＜ソフトウェアベースの多要素＜ハードウェアベース多要素など）
• Federation Assurance Level（FAL）：NIST SP800-63C
• アサーション保護の強度（Bearer＋署名＜Bearer＋署名＋暗号化＜HoK＋署名＋暗号化など）

各ガイドラインの日本語訳をOpenIDファウンデーション・ジャパンが公開しているので、興味のある方は参考にしてください。
https://openid-foundation-japan.github.io/800-63-3-final/index.ja.html


このように単にアイデンティティに関する「保証」といっても多岐にわたって考慮すべき点があります。

OpenIDファウンデーションジャパンにおける活動

冒頭で述べた通り、OpenIDファウンデーションジャパンにおいても先に述べた「KYC」に関するワーキンググループを2019年1月より設置し活動をしています。

このワーキンググループではOpenID Connectの仕様の拡張などといった単純に技術にフォーカスしたワーキングではなく、日本国内の各種業界（金融、テレコム、古物など）におけるID保証、本人確認に関する現状の調査、および現在業界毎に分断されている本人確認に関する要件の共通化に向けた課題の洗い出しなどポリシー面からの整理や、OpenID Connect for Identity Assuranceの仕様への国内事情のインプット、分散台帳を活用したアイデンティティの保証として注目されている「DID：Decentralized Identifier」や「VC：Verifiable Credentials」といった新しい技術の調査も、NFCリーダを使った公的証明書のICチップ読み取りや画像認識などeKYCに関連する技術に関しても網羅的に調査を行っています。

現在、ワーキンググループは第1シーズンの活動を終え、第2シーズンの活動を開始したところですので、興味のある方はこの機会にOpenIDファウンデーションジャパンへの入会とワーキンググループへの参画をご検討ください。

尚、第1シーズンの活動実績と成果物については2020年1月に開催された「OpenID Summit Tokyo」の中で発表させていただきましたので、詳しくは発表資料・成果物をご覧ください。

• KYC WGの活動報告（OpenID Summit Tokyoでの発表資料）
• サービス事業者のための本人確認手続き（KYC）に関する調査レポート（WG成果物）

米OpenID Foundationにおける活動

ようやくOpenID Connectの仕様の話です。米OpenID Foundationでは2020年1月より「eKYC and Identity Assurance Working Group」という新しいワーキンググループを立ち上げ、ID保証に関するOpenID Connectの新しい仕様である「OpenID Connect for Identity Assurance（通称OIDC4IDA）」の策定を進めています。尚、先に述べた通り、OpenIDファウンデーションジャパンでKYCワーキンググループをリードさせていただいている縁もあり、こちらのワーキンググループでは議長であるDr. Torste Lodderstedtの元、Mark Haine, Anthony Nadalinと共に共同議長を務めさせていただいております。

どのような仕様か

Abstractに記載されているとおり、本仕様は「OpenID Providerがエンドユーザに関する検証済みの属性をRelying Partyに対して提供するためのOpenID Connectの拡張」であり、「特定の法律に基づき自然人のアイデンティティを検証するために利用されることを意図して」定義されています。

This specification defines an extension of OpenID Connect for providing Relying Parties with verified Claims about End-Users. This extension is intended to be used to verify the identity of a natural person in compliance with a certain law.

簡単に言うと、OpenID Providerに登録されているアイデンティティが何に基づき、どのように検証されたものか？というメタデータを含めてRelying Partyに対して提供することにより、アプリケーション側が安心してサービスを提供することが出来るようにすることを目指しています。

例えば、ial_exmample_goldというトラストフレームワークに則って確認済みのgiven_nameとfamily_name属性の値である、ということをRelying Partyに伝達する時、id_tokenやuserInfoエンドポイントから以下のような形でverified_claimsとしてJSONが返却されます。

{
   "verified_claims":{
      "verification":{
         "trust_framework":"ial_example_gold"
      },
      "claims":{
         "given_name":"Max",
         "family_name":"Meier"
      }
   }
}

細かい技術面での解説はAuthleteの川崎さんが解説してくれていますし、少し前のDraftですが仕様の日本語化もされていますので、そちらをご覧いただければと思います。

• Authlete川崎さんのQiita
• OpenIDファウンデーションジャパンによる翻訳

仕様の現状

現在、本仕様は2nd Implementer's draftのレビュー期間が終わり、仕様の承認に関する投票が開始されています。
https://openid.net/2020/04/27/notice-of-vote-for-second-implementers-draft-of-openid-connect-for-identity-assurance-specification/

こちらも興味があれば米国OpenID Foundationの会員（個人でもなれます）として加入していただき、仕様策定にコントリビュートしていただければと思います。
（意外と日本人もいますよ！）

Identiverse 2019参加メモ（Day1）

こんにちは、富士榮です。

 今週ワシントンDCで開催されているIdentiverse 2019にきています。私はまだIdentiverseがCloud Identity Summitと呼ばれていた2016年から合わせて通算で3回目の参加となります。（昨年度はスピーカーとしての参加でしたが、今回は純粋にオーディエンスとしての参加なので、大いに楽しみたいと思います）

尚、今年は10周年ということで会場のあちらこちらに10周年を祝うモニュメントがあったり、毎年恒例のTシャツも10周年記念モデル？となっていたりしてお祭りムード全開です。（残念ながら例年おもしろTシャツのデザインをしていたPing Identityの方が退職されたとのことで、今年は1種類だけでした）

10周年記念オブジェ

10周年記念Tシャツ

しかし、何と言っても今回の目玉は最終日に予定されているスペシャルゲスト、Steve Wozniakのスペシャル・キーノートです。
こちらは最終日に改めてレポートします（体力が持てば・・・）

と、言うことで初日の参加メモ（と言うか旅行日記）です。

◆Identiverseとは

まず、Identiverse（旧Cloud Identity Summit）をご存知ない方のために簡単にイベント自体の説明をしておきます。詳細はこちらに書かれている通りですが、ざっくり言うと「デジタルアイデンティティやセキュリティ分野のリーダーやユーザーが集まって来るべきデジタル世界のVisionやテクノロジーについて語らう場」で、元々はPing Identityが主催するCloud Identity Summitとしてスタートして今年で10年、200以上のセッションがあり、2000名以上の方が参加するEuropean Identity & Cloud Conferenceに並ぶグローバルで最大規模のアイデンティティ・イベントです。

日本人も10名程度ではありますが、毎年参加されています。（ここでしかお会いしない方々もいたりして・・・）

また、グローバルなアイデンティティ界隈のリーダーの方々にも直接あって近況の交換をすることのできるIDマニアにとって非常に重要なイベントでもあります。

今年も初日のレジストレーションに並んでいる時にSalesforceのVPのIan Glazerに声をかけてもらったり、廊下でUnikenのNishantと話をしたり、MicrosoftからAuth0に移籍して早1年、我らがVittorio Bertocciと写真を撮ったり、と日本ではなかなかできない体験ができます。

◆Day1で参加したセッション

今回は奇跡的に時差ボケ解消に成功したので、初日から力つきることなく朝から晩まで通してセッション参加しました。

簡単な感想などを添えてそれぞれのセッションを紹介します。

ちなみにアジェンダはこちらから見ることができます。

• Introduction to Identity Part 1 / 2 by Ian Glazer, Pamela Dingle, Steve Hutchinson
• 言わずと知れた大御所によるデジタルアイデンティティとはなんぞや、と言う解説セッション。
• 標準技術から利用シーンまで網羅的かつわかりやすく解説してくれたので初学者に取っては非常に貴重な機会だったと思います。
• それなりに広めの部屋でしたが立ち見が出るほどの大盛況でした。
• かい摘んで解説すると、こんな感じでした。
• B2Eの世界における従業員IDの管理のようなトラディショナルなID管理から、B2Cの世界における顧客IDの管理のようなモダンなID管理への潮流があり、これからは「個人にフォーカスしたID管理」が主流になってくる
• B2E、B2B、B2Cのそれぞれの世界におけるID管理を「Admin-Time（管理時の目線）」と「Run-Time（実行時の目線）」で深掘り、関連するID管理の実施事項を解説してくと言うスタイル
• 管理と言う目線では以下のキーワードについて概要及び技術標準（SCIMなど）を解説（Ian Glazerが担当）
• Source of Truth（アイデンティティ情報の源泉）からディレクトリやアプリケーションなどの各種レポジトリへのプロビジョニングの流れ
• その前段にあるIdentity ProofingについてB2E、B2B、B2Cでの違い
• 権限管理、ロール管理、アイデンティティ・アナリティクス、特権ID管理
• 利用時の目線では同じく概要から標準を解説（Pamela Dingleが担当）
• 認証・認証要素（Active Factor/Passive Factor）とAdaptive Authenticationについて
• シングルサインオンとは
• APIセキュリティと委任（WS-Trust vs OAuth2.0）
• UXについて（Discovery時のNASCAR問題、同意取得、プロファイル管理、登録やリカバリのセルフサービス化など）
• 最後にSteve HutchinsonがAdmin-TimeとRun-Timeを合わせて全体像を語る、と言う締め

• Modern Identity for Developers 101 by Vittorio Bertocci
• 言わずと知れたVittorioのセッション
• 旧来のIdentityシステムからモダンなアーキテクチャへの移り変わってきた理由をわかりやすく解説
• 旧来はネットワーク境界の中にシステムがあり、各システムがアイデンティティ関連の機能（ユーザーストア、認証機能など）を持っていた
• その後、複数のシステムを横断的に使いたい、と言う要望に答えてディレクトリシステムやKerberosなどネットワークレイヤに近い層でシングルサインオンを実現
• しかしクラウドやB2Bなどネットワークの境界を超える必要が出てきたので、Federationテクノロジーが必要になってきた（モダン・アイデンティティの世界）
• Developer向けのセッションなので、モダン・アイデンティティの世界を支える各種要素（Identity ProviderやRelying Party、id_token、access_tokenとセッション管理など）の基本的な考え方を実際のデモ（Auth0とASP.NET Coreアプリ）をFiddlerでトレースしながら解説

• Google master class: Enabling BeyondCorp in your organization today by Google
• ベンダーセッションなので製品・サービスに特化した解説
• Vittorioのセッションでもあった通り、もはやネットワーク境界がセキュリティの境界となり得ない世界（Identity is the new perimeter）となってきているので、VPNやFirewallではなくアイデンティティ・アクセス管理とデバイス管理を統合的に行うことでセキュアな世界を作りましょう、と言うのがBeyondCorpの基本的な考え方
• Identity、Context、Rules Engine、Enforcement pointを経てアプリケーションやデータへ到達できる、と言う流れ（以下、概要）
• Identity : 利用者のアイデンティティ。Cloud Identityが該当
• Context : 利用者がどのような状態なのか（デバイス状態やネットワーク）。Device Trustの設定など
• Rules Engine : IdentityとContextに応じて必要な認証や認可ポリシーを判断するためのエンジン。Access Control Managerで設定
• Enforcement point : 判断結果の応じたポリシーを実行する。Cloud IAP、Cloud IAM、VPC Service Controlなどで対象システムやAPIに応じて制御を行う
• 最後にデモとして特定のバージョン以上のMacOSからでないとGmailが開けなくなる、と言うようなシナリオを紹介

• US Army: The secrets of a Successful ABAC Deployment by Accenture Federal Service, NextLabs
• 事例セッション
• US ArmyのSAPシステムの権限管理をNextLabsのソリューションを使ってABACで最適化したよ、と言う話
• ABACの基本的な考え方はNIST SP800-162の通り。XACMLベースです。
• やりたいことはRealtime SoD、Realtime continues authentication/Risk-aware authorization
• ベストプラクティスは以下の通り
• 属性のクオリティは大事
• ポリシーは100個以下におさめて再利用可能な設計をすること
• RBACとABACは共存できる
• US ArmyではNextLabsのソリューションを使い、SAPの標準の権限管理のさらに上位のレイヤーで権限管理を行った
• 最終的にはこんな感じ
• 権限管理に使った属性は5つ未満
• ポリシーは10〜20個の間
• 属性はGRCで管理

• Decentralized Identity: Intersection of Identity and Distributed Ledger by Microsoft
• マイクロソフトによるDIDのオーバービュー
• 今日のアイデンティティに関する3つの課題
• Too many passwords
• Data ownership, privacy
• Data oversharing
• DLTはこれらの課題を解決できるのか？と言う問いに答えるのが、Identityと分散台帳をとり持つDecentralized Identity
• DID AuthやVerifiable Credentialsを使うことである程度上記の課題が解決できそう。MSも最近IONを出したよ
• しかし残課題として、UXやRP側から見たExperienceの改善や、アカウントリカバリーや鍵のローテーションの問題があるので、頑張って対応していく
• そして、DIDはPIIなのか？という話も今後議論されていく問題。。。

• Delivering a Trusted Digital Identity System by Mastercard
• この辺りになると疲労度マックスなのであまり頭に入ってこなかったです。。。
• 金融機関と言うよりテック企業になってきていて、デジタル空間での信頼を従来の社会と同様に作っていく、と言う話。
• マスターカードのロゴのオレンジの丸は信頼を表している？と言うような話をしていた気がします
• Throwing away the Clipboard : Digital Identity & Blockchain for Healthcare by Aetna, TrustedKey
• 医療に関連する情報のポータビリティをTrustedKeyを使って実現しよう、と言う話（ただし、電子カルテの代わりになったり、ブロックチェーン上に医療履歴を載せようと言う話ではない）
• 解決したい課題はユーザの利便性。
• 保険証や本人確認書類を何度も提示しないといけない状態を解消したい。実際の医療行為を受けている時間より手続きを待っている時間の方が長いのは勘弁してほしい。
• 医者に行く前のオンライン予約
• 病院の受付
• 薬局の受付
• 医療履歴を管理するWebサイトへの登録
• 医療機関、薬局などがIdentity Issuerとなり、TrustedKeyの提供するウォレットに情報をストア（ブロックチェーンベース）
• 各種機関やオンラインサービスへQRコードを使って情報を提示することでUXを改善できる

• Fastfed - A new standard to make SSO easy by AWS
• OpenID FoundationのFastFed WGの発表
• 現状、SSOを有効化しようとすると、IdP側に設定をした値をコピーしてRP側に設定、RP側の設定結果をIdP側にまたコピーして、、と言う流れになり非常に煩雑
• FastFed WGでは設定や属性マッピングの自動化を行うための標準を検討している
• AWSへのSSOをGoogle IdPで実施するデモを披露
• AWSコンソールからGoogleアカウントを入れるだけで自動ディスカバリ〜自動設定が行われる
• 個人的に非常に期待しているWGだったりするので、本格的に実装されてくるのが楽しみです
• Self Sovereign OpenID Connect - a ToDo List by Nat Sakimura
• 米国OpenID Foundationの理事長である崎村さんのセッション。
• Self Sovereignってみんな騒いでるけど、ブロックチェーン＝Self Sovereignじゃないよ、OpenID Connectでもいいよ、と言う話
• モデルとしては、こんな感じ
• SIOPを中心とした世界観
• CP（Claims Provider）とIdP（SIOP）を明確に分離して、間をAggregated ClaimとかDistributed Claimで繋ぐ
• ただ、まだまだやることもあって、以下がToDo List
• SIOPを簡単にCPへレジストレーションできる仕組み（Dynamic Client Registration）
• SIOPが発行するSelf IssuedなIdentifier（公開鍵のハッシュ）とCPの属性のバインディングの方法
• 過去に遡った署名の管理（ブロックチェーンの出番かも）
• 鍵のリカバリの仕組み
• SIOPがオフラインでもRPが属性を取得できる仕組み
• 基本的な考え方はDistributed Claimの利用。RPが直接CPへ問い合わせできる
• SIOPのアドレスの解決
• ブラウザ設定とリクエストヘッダーで解決できるような仕組みが良いのではないか？

とりあえず初日はこんなところです。

ちなみにワシントンDCの街中は結構坂もあるので、電動スクーターや電動自転車のシェアリングサービスがそこら中にあります。以前はカーシェアだけしかやっていなかったLyftがスクーターに手を出したりしていてまさにMaaS元年って感じなのかも知れません。（写真はBird）