資格情報管理

資格情報管理は、資格情報管理システム (CMS) とも呼ばれ、公開鍵インフラストラクチャ (PKI)の一部として資格情報を発行および管理するために使用される確立された形式のソフトウェアです。

CMS ソフトウェアは、政府や企業が従業員や国民に強力な2 要素認証 (2FA) を発行する際に使用されます。CMS は PKI のコンポーネントと統合され、スマート カード、USB キー、スマートフォン、ラップトップ、デスクトップ コンピューターなど、さまざまなデバイスに認証情報を発行および管理するための 1 つの統合ソリューションを IT 部門に提供します。^[1]

資格情報管理は、Web ユーザー エージェント (Web ブラウザーやその他のアプリケーション) が使用するパスワード マネージャーがログイン用のユーザー名とパスワードの組み合わせを作成、保存、使用、変更する方法の側面を標準化するために、World Wide Web Consortiumによって開発中のアプリケーションプログラミングインターフェイス( API) の提案でもあります。また、ユーザー エージェントによる「フェデレーション」資格情報 (シングル サインオントークンなど)の管理も標準化されています。この API は W3C の Web アプリケーション セキュリティ ワーキング グループによって開発されており、2016 年 4 月からワーキング ドラフトの状態になっています。これは勧告トラックの提案であり、受け入れられる標準になることが期待されていますが、そうなる前に大幅な変更が行われる可能性があります。^{[2] [3]資格情報管理 API は、} WebAuthn (Web 認証) 提案によって既に拡張されており、2018 年 4 月に候補勧告の状態に達し、公開鍵認証を処理する機能が追加されています。^[4]

最近のウェブブラウザでは、ウェブサイトのログイン用にユーザー名とパスワードを保存して自動的に入力できるのが一般的ですが、フォームのどのフィールドとデータを入力/保存すべきかを推測するために最適ではないヒューリスティックが使用されることが多く、一貫性がなく、ときには誤った動作が発生します。また、ウェブサイトに接続するユーザーがサードパーティのウェブサービス ( Facebook、Google、Twitterなど) のアカウントを使用して認証し、ID 情報を提供する場合など、ブラウザはフェデレーション ID のログイン フォームに入力する際に​​問題が発生することもあります。資格情報管理仕様は、パスワード変更のプロセスを合理化して、クライアントにローカルに保存されたパスワードをサーバーで変更すると同時に更新できるようにすることも目的としています。

Google Chromeは、 2016年5月にリリースされたバージョン51 ^[5]以降、認証情報管理のサポートを一部含んでいます。[ ^6] Operaは、 2017年4月にリリースされたバージョン44 ^[5]以降、認証情報管理をサポートしています。^[7] Mozilla Firefoxは、2018年5月にリリースされたバージョン60以降、WebAuthnをサポートするAPIのサブセットを含んでいます。^[8]

2017 年 8 月のワーキング ドラフトの時点で、^[9]資格情報管理 API をサポートするユーザー エージェントは、資格情報オブジェクトの永続的なストレージ用の「資格情報ストア」を実装する必要があり、ユーザーがオブジェクトを操作してログインに使用することを許可または拒否できるようにする「資格情報選択」も含める必要があります。資格情報には、理想的には、名前とファビコンが関連付けられ、おそらく他の関連情報も関連付けられるため、どの Web サイトまたはサービスに使用されるかを区別するのに役立ちます。また、同じサイト上の複数のアカウントの資格情報を区別することもできます。

API は、インターフェースを公開する4 つの主要なJavaScriptメソッド(、、、および) を定義します。また、子孫およびオブジェクト タイプを持つトップレベルのインターフェース オブジェクトも指定します(WebAuthn もインターフェース オブジェクトを定義します)。API は、ユーザー エージェントが安全な ( HTTPS ) Web サイトに接続されている場合にのみ使用できます。ブラウザーは、安全でないサイトでログイン情報の自動入力を実装できますが、パスワードやその他の資格情報が誤って公開される可能性があるため、そのようなサイトで API が提供する自動化のメリットを享受できるようにしてはなりません。また、API アクセスはトップレベルのウィンドウでのみ許可され、要素内または他のネストされたブラウジング コンテキスト内では許可されません。 CredentialsContainernavigator.credentials.create()navigator.credentials.store()navigator.credentials.get()navigator.credentials.preventSilentAccess()CredentialPasswordCredentialFederatedCredentialPublicKeyCredential<iframe>

このnavigator.credentials.create()メソッドは、メモリ内に資格情報オブジェクトを構築するために使用され、store()ログインが成功した後に資格情報ストアにオブジェクトを書き込むトリガーget()となります。 は、ストレージから潜在的に関連のある資格情報を要求します。これは、資格情報チューザーでユーザーに表示される場合があります。取得要求が行われると、ユーザー エージェントはデフォルトでユーザーに認証を求める必要がありますが、ユーザー インターフェイスでは、プロンプトを表示せずに「サイレント」認証を許可するフラグを設定することができます。Web サイトは、 メソッドを使用してそのフラグをリセットできます。このメソッドはpreventSilentAccess()、ログアウト時に使用することをお勧めします。

• オープンIDコネクト

• 資格情報管理レベル 1
• W3C ウェブアプリケーションセキュリティワーキンググループ