安全・安心に向けたYahoo! ID連携の改善とネイティブアプリのID連携の実装 / YJTC19 in Shibuya B-4 #yjtc

倉林雅サービス統括本部 ID・セキュリティ新卒入社以来Yahoo! ID連携の開発・運用を担当し、認証技術黒帯としてヤフーの認証・認可技術を発信。 OpenID ファウンデーション・ジャパンの理事、エバンジェリストとしてOpenID・OAuthなどの標準技術の普及と啓発活動を行っている。 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

9.

10.

11.

1. Yahoo! JAPAN ID誕生から今に至るまでログイン履歴 Yahoo! JAPAN 設立 ID連携数拡大 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. Yahoo! ID連携 (OpenID Connect) OAuth 1.0 パスワードレス 20 20 18 20 16 FIDO スマートログイン 1タップ・0タップログイン BBAuth 20 14 ログインテーマ Yahoo! JAPAN ID 誕生 OpenID 2.0 ID連携 HTTPS化シークレットID スマフォ版ログイン SSO 20 12 20 10 08 20 ワンタイムパスワードログインアラートログインロックセキュリティ強化プライバシー強化ログインユーザー ID数拡大・・・ 20 98 19 19 96 Yahoo! JAPAN IDの施策と歴史

12.

13.

14.

15.

2. ログインユーザーID数拡大施策アプリにおけるログインユーザーの拡大 2013年 • アプリ間でログインセッションを共有する1タップログインを提供 2014年 • ログイン済みのアプリがある場合、新たなアプリの初回起動時に自動でログインする0タップログインを提供複数のアプリ利用でもわずらわしくないログイン体験を実現しログイン率の向上に成功 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

16.

2. ログインユーザーID数拡大施策回線認証によるユーザー体験の向上 2015年 • ソフトバンク端末の回線による認証 • パスワード入力不要 • 自動でログイン可能キャリアの強みを活用してよりシームレスなユーザー体験を実現 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. https://www.softbank.jp/mobile/service/smart-login/

https://www.softbank.jp/mobile/service/smart-login/

17.

18.

3. セキュリティ強化施策パスワードレスとFIDOで不正ログイン対策強化 2017年 • パスワードレス（SMS認証）によってリスト型攻撃のリスクを低減 • ユーザーがパスワードを考えて覚える負担も軽減 2018年 • アプリやブラウザーで生体認証が利用可能 • SMS認証の確認コード入力も不要になり体験向上不正ログインの根本的原因をなくし安全かつユーザー体験のよりよいログインを提供 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. https://about.yahoo.co.jp/pr/release/2018/09/27a/

https://about.yahoo.co.jp/pr/release/2018/09/27a/

19.

20.

21.

22.

4. ID連携拡大施策 OAuth 1.0を提供終了、主流のOpenID Connectへ移行 2020年3月31日 • 認可機能であるOAuth 1.0の提供を終了 • OpenID ConnectおよびOAuth 2.0に準拠したYahoo! ID連携 v2への移行を推進中機能拡張されたID連携に移行することでキャンペーン施策が容易になり ID連携拡大につながる Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. https://developer.yahoo.co.jp/changelog/2019-11-27-yconnect.html

https://developer.yahoo.co.jp/changelog/2019-11-27-yconnect.html

23.

24.

5. 情報漏洩や意図的な名寄せの対策情報漏洩や意図的な名寄せの問題パートナー共通のユーザー識別子の懸念点 1. パートナー企業でユーザー識別子が漏洩した際の名寄せ 2. パートナー企業間による意図的な名寄せ 1.漏洩時の名寄せ共通ID 共通ID ユーザー共通ID 2.意図的な名寄せ Yahoo! ID連携パートナーA パートナーB 共通ID 名寄せ共通ID 共通ID 共通ID Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. 悪意あるユーザーユーザー共通ID Yahoo! ID連携パートナーA パートナーB パートナーA 担当者名寄せ共通ID 共通ID パートナーB 担当者

25.

5. 情報漏洩や意図的な名寄せの対策 PPIDとは Yahoo! ID連携 • Pairwise Pseudonymous Identiﬁerの略称 • ユーザー識別子をサービス（Client ID）ごとに異なる値とする仕組み PPID-A PPID-B ID連携するIDが同一であってもサービスごとのPPIDを発行することで名寄せの防止が可能 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. PPID-C パートナーA パートナーB パートナーC

26.

5. 情報漏洩や意図的な名寄せの対策 PPID提供によってリスク低減 PPIDによって漏洩時の名寄せ、意図的な名寄せを防止しユーザーのセキュリティリスク・プライバシーリスクを低減 1.漏洩時の名寄せ PPID-A ユーザー PPID-B 2.意図的な名寄せ Yahoo! ID連携パートナーA パートナーB 名寄せ防止 PPID-A PPID-A PPID-B Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. ユーザー PPID-B Yahoo! ID連携パートナーA パートナーB パートナーA 担当者名寄せ防止 PPID-A PPID-B パートナーB 担当者

27.

28.

29.

30.

31.

32.

33.

1. ネイティブアプリのセキュリティ対策認可コード横取り攻撃の例ユーザーアプリ悪意のあるアプリブラウザ認可サーバー App 認可リクエスト example://xxx 認可リクエスト認証・認可同一のカスタムURIスキームで起動認可レスポンス認可レスポンストークンリクエストトークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

34.

35.

1. ネイティブアプリのセキュリティ対策認可コード横取り攻撃の例ユーザーアプリ悪意のあるアプリブラウザ認可サーバー App 認可リクエスト認可リクエスト認証・認可認可コード認可レスポンスアクセストークン認可レスポンスリフレッシュトークン不正アクセス成功 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. トークンリクエストトークンレスポンス

36.

1. ネイティブアプリのセキュリティ対策認可コード横取り攻撃の例ユーザーアプリ悪意のあるアプリブラウザ認可サーバー App 認可リクエスト認可リクエスト認証・認可認可コード認可レスポンスアクセストークン認可発行対象のクライアントでなくてもレスポンスリフレッシュトークン認可コードを利用できることが問題不正アクセス成功 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. トークンリクエストトークンレスポンス

37.

1. ネイティブアプリのセキュリティ対策 PKCEによる認可コード横取り攻撃の対策ユーザー悪意のあるアプリアプリブラウザ認可サーバー App 認可リクエスト code̲veriﬁer 認可リクエスト認証・認可認可レスポンス認可レスポンス認可コード code̲veriﬁer トークンリクエストトークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

38.

1. ネイティブアプリのセキュリティ対策 PKCEによる認可コード横取り攻撃の対策ユーザー悪意のあるアプリアプリブラウザ認可サーバー App 認可リクエスト code̲veriﬁer 認可リクエスト認証・認可認可リクエストとトークンリクエストを認可レスポンス code code̲veriﬁerで紐づける認可レスポンス code̲verifier トークンリクエストトークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

39.

1. ネイティブアプリのセキュリティ対策 PKCEによる認可コード横取り攻撃の対策ユーザーアプリ悪意のあるアプリブラウザ認可サーバー App 認可リクエスト認可リクエスト認証・認可認可レスポンス認可レスポンス認可コード code̲veriﬁer??? トークンリクエストトークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

40.

1. ネイティブアプリのセキュリティ対策 PKCEによる認可コード横取り攻撃の対策ユーザーアプリ悪意のあるアプリブラウザ認可サーバー App 認可リクエスト認可リクエスト認証・認可認可コードのみでは認可レスポンス code=abc アクセストークンなどの取得は不可能に認可 code̲veriﬁer=??? レスポンストークンリクエストトークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

41.

42.

43.

44.

https://github.com/yahoojapan/yjlogin-ios-sdk

45.

https://developer.yahoo.co.jp/yconnect/v2/client_app/ios/swift/

46.

47.

2. ネイティブアプリとバックエンドのID連携 SDKを利用したベストプラクティスユーザーアプリ SDK ブラウザバックエンド App アプリとバックエンド間でセッション確立 nonceとcode̲veriﬁerを生成 SDKのログインメソッドを実行バックエンドに認可コードを渡しトークンリクエスト Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. Yahoo! ID連携

48.

2. ネイティブアプリとバックエンドのID連携 SDKを利用したベストプラクティスユーザーアプリ SDK ブラウザバックエンド App アプリとバックエンド間でセッション確立 nonceとcode̲veriﬁerを生成 SDKのログインメソッドを実行バックエンドに認可コードを渡しトークンリクエスト Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. Yahoo! ID連携

49.

50.

2. ネイティブアプリとバックエンドのID連携アプリとバックエンド間でセッションを確立ユーザーアプリ SDK ブラウザバックエンド Yahoo! ID連携 App nonce・code̲veriﬁerリクエスト nonce・code̲veriﬁerレスポンス nonce code̲veriﬁer Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. nonce code̲veriﬁer

51.

2. ネイティブアプリとバックエンドのID連携アプリとバックエンド間でセッションを確立ユーザーアプリ SDK ブラウザバックエンド Yahoo! ID連携 App nonce・code̲veriﬁerリクエストセッションに紐づけてバックエンドに保存パラメータを nonce・code̲veriﬁerレスポンス nonce code̲veriﬁer Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. nonce code̲veriﬁer

52.

2. ネイティブアプリとバックエンドのID連携 SDKのログインメソッドで認可コード取得ユーザーアプリ SDK ブラウザバックエンド App アプリとバックエンド間でセッション確立 nonceとcode̲veriﬁerを生成 SDKのログインメソッドを実行バックエンドに認可コードを渡しトークンリクエスト Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. Yahoo! ID連携

53.

54.

55.

[beta]

コードサンプル(Swift)
LoginManager.shared.login(
scopes: [.openid, .proﬁle],
nonce: “<バックエンドで生成したnonce>",
codeChallenge: “<バックエンドで生成したcode_veriﬁerから生成>")
{ (result) in
switch result {
case .success(let loginResult):
let code = loginResult.authorizaGonCode
case .failure(let error):
…
}
}
Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

56.

[beta]

コードサンプル(Swift)
LoginManager.shared.login(
scopes: [.openid, .proﬁle],
nonce: “<バックエンドで生成したnonce>”,
codeChallenge: “<バックエンドで生成したcode_verﬁierから生成>")
{ (result) in
switch result {
case .success(let loginResult):
let code = loginResult.authorizaHonCode
case .failure(let error):
…
}
}
Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

57.

[beta]

コードサンプル(Swift)
LoginManager.shared.login(
scopes: [.openid, .proﬁle],
nonce: “<バックエンドで生成したnonce>",
codeChallenge: “<バックエンドで生成したcode_verﬁierから生成>")
{ (result) in
switch result {
case .success(let loginResult):
let code = loginResult.authorizaGonCode
case .failure(let error):
…
}
}
Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

58.

59.

2. ネイティブアプリとバックエンドのID連携 SDKを利用したベストプラクティスユーザー SDK アプリブラウザバックエンド App アプリとバックエンド間でセッション確立 nonceとcode̲veriﬁerを生成 SDKのログインメソッドを実行バックエンドに認可コードを渡しトークンリクエスト Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

60.

61.

62.

2. ネイティブアプリとバックエンドのID連携バックエンドに認可コードをわたしトークン発行ユーザーアプリ SDK ブラウザバックエンド Yahoo! ID連携 App nonce トークンリクエスト code̲veriﬁer トークンリクエスト認可コードトークンレスポンス code̲veriﬁer トークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

63.

2. ネイティブアプリとバックエンドのID連携バックエンドに認可コードをわたしトークン発行ユーザーアプリ SDK ブラウザバックエンド Yahoo! ID連携 App nonce トークンリクエスト code̲veriﬁer トークンリクエスト ID Token トークンレスポンストークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

64.

2. ネイティブアプリとバックエンドのID連携バックエンドに認可コードをわたしトークン発行ユーザーアプリ SDK ブラウザバックエンド Yahoo! ID連携 App nonce トークンリクエスト code̲veriﬁer セッションに紐づけてバックエンドに保存したパラメータを各種検証に利用トークンリクエスト ID Token トークンレスポンストークンレスポンス Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

65.

2. ネイティブアプリとバックエンドのID連携 SDKを利用したベストプラクティスユーザーアプリ SDK ブラウザバックエンド App アプリとバックエンド間でセッション確立 nonceとcode̲veriﬁerを生成 SDKのログインメソッドを実行バックエンドに認可コードを渡しトークンリクエスト Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved. Yahoo! ID連携

66.

67.

68.

69.

全体のまとめ 1. セキュリティリスク・プライバシーリスクの低減 • PPID対応によりユーザー識別子の漏洩や意図的なサービスでの名寄せを防止 2. ネイティブアプリのID連携のセキュリティ強化とベストプラクティス • PKCE対応により認可コードの横取り対策 • バックエンドサーバーを連携したネイティブアプリの実装方法を公開 • iOS SDKをOSSとして公開 Copyright© 2019 Yahoo Japan Corporation. All Rights Reserved.

70.

71.

72.

安全・安心に向けたYahoo! ID連携の改善とネイティブアプリのID連携の実装 / YJTC19 in Shibuya B-4 #yjtc

Yahoo!デベロッパーネットワーク

関連スライド

深層学習による自然言語処理入門: word2vecからBERT, GPT-3まで

ゼロから始める転移学習

ヤフーにおける WebAuthn と Passkey の UX の紹介と考察 #idcon #fidcon

OpenID Connectとネイティブアプリを取り巻く仕様と動向 Yahoo! JAPANの取り組み #openid #openid_tokyo

運用業務とスクラムは本当に組み合わせにくいのか︖運用業務が大半を占めるプロダクト開発での試行錯誤

ヤフーのオンプレ機械学習基盤AIPFについて #ml_kubernetes

各ページのテキスト