認証サービスプロバイダー

認証情報サービスプロバイダー（CSP ）は、加入者にセキュリティトークンまたは電子認証情報を発行する信頼できるエンティティです。 ^[1] CSPは認証システムの一部を形成し、通常はフェデレーション認証システム内の別のエンティティとして識別されます。CSPは独立した第三者である場合もあれば、独自に使用するために認証情報を発行する場合もあります。^{[1] CSPという用語は、}米国政府のeGovおよび電子認証イニシアチブの文脈で頻繁に使用されます。CSPの例としては、インターネットバンキングなどを主な目的としたオンラインサイトが挙げられますが、そのサイトのユーザーはその後、追加のアクションをとらなくても他のサイト、アプリケーション、またはサービスに対して認証される場合があります。

どの認証システムでも、対象のアプリケーションまたはサービスに代わってユーザーを認証する何らかのエンティティが必要です。長年、セキュリティの影響と、最終的に認証が必要となるサービスやアプリケーションの多様性について十分な理解がありませんでした。その結果、ユーザーは多くの資格情報を記憶したり持ち歩いたりしなければならないという負担を負うだけでなく、アプリケーションやサービスもそれらのユーザーに対して何らかのレベルの登録と何らかのレベルの認証を実行する必要があります。その結果、資格情報サービス プロバイダーが作成されました。CSP は、これらの機能をアプリケーションまたはサービスから分離し、通常はネットワーク (インターネットなど)経由でそのアプリケーションまたはサービスに信頼を提供します。

CSP は、各加入者と、その加入者に発行された関連するトークンおよび資格情報を一意に識別するメカニズムを確立します。CSP は、認証プロトコルで使用するトークンを加入者に登録または提供し、必要に応じて資格情報を発行して、そのトークンを ID にバインドするか、ID を他の有用な検証済み属性にバインドします。加入者は、登録時にトークンに付随する電子資格情報を与えられる場合もあれば、必要に応じて後で資格情報を生成する場合もあります。加入者は、トークンの管理を維持し、CSP に対する責任を遵守する義務があります。CSP は、登録記録を回復できるように、各加入者の登録記録を維持します。^[1]

電子認証モデルでは、認証プロトコルの申請者は、何らかの CSP の加入者です。ある時点で、申請者は登録機関(RA) に登録します。登録機関は、通常、紙の資格情報の提示とデータベースの記録によって、申請者の身元を確認します。このプロセスは、身元証明と呼ばれます。次に、RA は、申請者の身元 (および場合によっては他の検証済み属性) を CSP に保証します。その後、申請者は CSP の加入者になります。CSP は、各加入者と、その加入者に発行された関連するトークンと資格情報を一意に識別するメカニズムを確立します。RA と CSP の間には常に関係があります。^[1]

CSP は、電子認証プロセスを通じてユーザー ID の信頼性を確立できます。その結果、一部の規制当局は、個人に対して CSP を通じて ID を証明するよう求めることができます。現在、規制当局は、医師が規制対象危険物質 (CDS) の処方箋を発行する前に、医師が電子的に認証されることを義務付けています。医師は、2 要素認証資格情報またはデジタル証明書を受け取るために、連邦政府が承認した CSP を探す必要があります。^[2] CSP は、米国国立標準技術研究所の特別刊行物 800-63-1 保証レベル 3 を満たす ID 証明を実施します。 ^[2]

連邦政府は現在、電子政府取引のCSPである。しかし、政府はアプリケーションに全力を注ぎ、認証情報管理ビジネスを他の業界に任せることを計画している。^[3]

2004 年に、米国政府は電子認証イニシアチブを提案しました。このイニシアチブの目標は次のとおりです。

• 一般市民と米国政府間の電子的なやり取りの広範な利用をサポートするために必要な相互信頼を構築し、実現します。
• 政府から信頼できる電子サービスを受ける際の国民の負担を最小限に抑えます。
• リスクレベルとビジネスリスクに適切に適合した、共通の相互運用可能な認証ソリューションを提供します。^[3]

この取り組みの結果、大学は学生、教職員に特定の連邦アプリケーションへのアクセスを提供し始める可能性があります。^[4]しかし、これが行われる前に、政府は以下の要件を課します。^[5]

• 資格評価
• 業務および運営規則の署名
• SAML 1.0 における技術的な相互運用性

• 連邦PKIとの相互認証

連邦に直接参加することを希望するサービスを提供する者は、以下に同意する必要があります。

• eAuthenticationビジネスと運用ルール
  • リスク分析
  • サービスレベル
  • セキュリティレベル
  • FIPSおよびNIST SPへの準拠
  • 報告要件
• 手続き、監査、および文書化の要件。

以下に、いくつかの CSP の短いリストと、それらが提供するサービスの簡単な説明を示します。

Equifaxは、連邦政府のセキュリティとプライバシーの要件を満たす認定認証ソリューションを提供しています。Equifaxは、基本的な名前と住所の識別認証情報以上のものを提供しています。Equifaxは、信頼できるユーザーのみが機密データと安全なネットワークにアクセスできるようにするために、電子IDを識別する方法を提供しています。^[6]

MediQuinはカリフォルニア州アーバインに拠点を置く資格サービスプロバイダーです。MediQuinは医療資格認定、プロバイダー申請、登録フォーム、検証サービス、その他の医療関連の資格サービスを提供しています。^[7]

Med Advantageは数多くの検証サービスを提供しています。^[8]

• 認定委員会 - 現在の認定レベルを確認する
• 犯罪歴 - 州および/または連邦の犯罪歴を確認する
• DEA/CDS 登録 - NTIS および/または証明書による確認
• 教育 - 医学教育と大学院教育を確認する
• FSMB - 州医療委員会連盟への問い合わせ
• ライセンス - 州のライセンスを確認する
• 医療過誤請求 - 運送業者から確認する
• 医療過誤保険 - 保険会社または証明書から確認
• NPDB - 国立医師データバンクのクエリ
• HIPDB - ヘルスケアの完全性と保護に関するデータバンクのクエリ
• 特権 - 病院の入院特権と特権の輪郭を確認する
• 参照 - 専門家の参照を確認する
• 制裁 - メディケア/メディケイドと州のライセンスの照会
• 職歴 - 履歴書から職歴を抽出する

以下は、さまざまなカテゴリの認証情報サービス プロバイダーのおおよそのコストを示した表です。

^[9]

イニシアティブアイデンティティ保証認証および承認プログラムは、CPSを利用して民間部門に信頼性の高いデジタル認証情報を提供しようとするカンタラのプログラムです。^[9]

Windowsは認証プロトコルを実装するためにCSPを使用します。^[10] Windows Vistaでは、Credential Security Service Provider（CredSSP）と呼ばれる新しい認証パッケージが導入されました。CredSSPはクライアント側のCSPを使用して、アプリケーションがユーザーの資格情報をターゲットサーバーに委任できるようにします。