導入事例
手軽で安全なパスワードレス認証を「DAuth」で実現／学校用グループウェア「ミライム」
ミライムさま
クラウドサービスの増加でユーザーが管理するIDとパスワードの数は膨大になった。しかもこのIDとパスワードによる従来の認証には多くの欠点があることも周知の通りだ。その解決策として注目されるのが「FIDO2」、「DAuth」だ。
「FIDO2」は、ファイドツーと読む。「DAuth」は、ディーオースと読む。
「FIDO2」とは、安全なパスワードレス認証を実現するための技術標準。クライアントに専用機器が不要なため手軽さが特徴だ。※ 「DAuth」とは、FIDO2を容易に組み込めるAPI（アプリケションインターフェイス）サービスで、日本情報システムが開発、提供している。
クラウドサービスを提供するベンダー、利用するユーザーにとって安全なパスワードレス認証の知識は欠かせない。そこで、いち早く自社の学校用グループウェア「ミライム」に、DAuthを組み込み、パスワードレス認証を実現した、ミライム 松下真也 代表取締役社長の話を紹介する。
学校のクラウド化が進み、IDとパスワードが溢れた
学校用グループウェアミライムは、2008年に製品化され、全国小中高2300校への導入実績がある。かつては校内にサーバーを設置し専用ネットワークを用いるオンプレミス型であったが、GIGAスクール構想や政府の推し進めるクラウド・バイ・デフォルト原則も背景にあり近年は７割がクラウド型へと変化している。ミライムだけでなく学校は様々なクラウドサービスが増え続け、教職員の管理するIDとパスワードも増加の一途だ。サービス毎にパスワードの桁数や使用する文字種などのルールが異なり管理は困難を極める。やむを得ずパスワードを忘れないように付箋で貼るような対応も行われていた。
FIDO2の採用へ セキュリティの不安を和らげ教職員の多忙感を緩和したい
増え続けるパスワードの管理は、基本的にはユーザーである教職員の責任になる。教職員は多忙を極めている。仕事量の多さに加えてセキュリティ面への不安が多忙感を助長する、松下社長は指摘する。「現場をよく知るクラウドベンダーとしてこの不安を和らげたい」ミライムの認証にFIDO2を採用したきっかけだ。
セキュリティ技術をウォッチする中でパスワードレスを実現するFIDO2に関心を持った。同じタイミングで日本情報システムのDAuthにも出会う。
FIDO2に対応したソリューションが少なく、ミライムに組み込むには自社で実装するのか、あるいはAPIとして提供されるDAuthを採用するのか比較検討を行った。
簡単に実装できて、まるなげできる手軽さ、柔軟で軽快なフットワーク DAuthの大きなメリット
FIDO2の標準仕様に則って自社で開発した場合、初期開発工数は大きなものになる。それだけでなくアップデートする規格にも追随しなければならない。自社のFIDO2認証サーバーを立ち上げることになるので運用コストも継続的に発生する。自社エンジニアをミライムの開発運用に集中させたいと松下社長は考えた。
◆実装から試験までわずか１週間余りというスピード感
こうしてDAuthの採用が決まった。ミライムでAPIに連携するための開発がスタートしたのだが、わずか１週間ほどで試験まで全てが完了するという想像以上の手軽さだった。DAuthは、必要な機能のみに絞っていて、余計なものがないのでとにかく組み込みやすいと松下社長は語る。簡単に実装できて、セキュリティのトレンドに追従するコスト、運用コストからも解放され、まるなげできる手軽さは非常に大きなメリットだという。
◆要望へのレスポンス
開発やテストを行ったミライムの技術者や試用した担当者からの要望を吸い上げると、日本情報システムでは総合的なユーザービリティを踏まえて必要だと判断したものは迅速に対応していく。この柔軟さ、セキュリティ専門集団ならではのレスポンスもDAuthの大きな魅力だろう。
ミライムの哲学「シンプルで良いもの」に合致したDAuth
松下社長は自社の製品思想にDAuthが合致していることも採用の決めてだったと語る。ミライムの哲学は「シンプルで良いもの」だ。ユーザーファーストを追求すれば余計な機能はなくなるはずであるし、そしてシンプルさを維持していくには製品としての自信が必要になる。シンプルであるということはユーザーから見える表の部分は簡単だが、奥深く掘り進むと実は非常に難しいことをやっているものだ、という。
例えば、学校行事を管理するスケジュール機能だが、固定の枠に日時、項目、出席者など入力するのが一般的だ。ファイルからインポートするにもフォーマットを固定するだろう。しかしミライムでは現場の教職員の声を生かして、まるで黒板に書くかのように自由に入力し情報共有ができる。学校毎に異なるフォーマット、使用するソフトウェアもバラバラの月行事予定表をコピーアンドペーストすればフォーマットを解析し月間スケジュールに反映できるようにもなっている。ユーザーから見るとミライムはシンプルで簡単だが、その裏では難易度の高いことを提供しているのだ。このような「シンプルで良いもの」という思想がDAuthと重なるのだという。
DAuth＋ミライムがパスワードレス認証広まりの「きっかけ」となり、先生の負担軽減へ
ミライムは「先生の負担を軽減していくこと」を目指している。先生の負担軽減が子どもの未来につながるからだ。そう考えて、煩雑なパスワード管理やセキュリティリスクの不安から教職員を解放するために、学校の認証にパスワードレスのFIDO2技術を広めていきたい。パスワードレスが広まり、あらゆるものの認証が変わればクラウドとの相性もずっとよくなるだろうし、相乗的に業務が改善されて教職員の負担が減っていくだろう。DAuthとミライムによるソリューションが、その広まりの「きっかけ」となれたらと松下社長は願っている。
まずは使ってみてほしい 試用で過去の印象を払拭することからスタート
セキュリティ製品というのは業務が複雑になるという思い込みがまだ根深くあるだろう。かつて、情報漏洩を恐れるあまりにネットワークを分離するなど利便性を置き去りにした経緯からの印象があるからだ。実はこれは逆だ。パスワードレスのFIDO2技術を使うことで、今までよりもっと簡単にもっと安全になるのだから。そこをしっかり理解してもらうことがスタート。既に多くの教育委員会がパスワードレス認証に標準対応するミライムに興味を示しているという。1月から試用をスタートした。まずはミライムでパスワードレスを体験し過去の印象を払拭してほしい、松下社長は自信をのぞかせる。
パスワードレスを保護者や子ども向けサービスへも展開
今回のDAuth実装は、1つの段階に過ぎない。スマートフォンのアプリなど専用のデバイスが不要になり一般への普及も加速、セキュリティが維持できるので、今後は教職員だけでなく子どもや保護者向けにも価値を提供していきたい。例えば現在は、紙や電話で行っている学校への欠席連絡やアンケートなどのやりとりもDAuthを組み込んだクラウドシステムとして提供したい、松下社長は今後の展望を意欲的に語った。
※FIDO2（Fast Identity Online2）とは
FIDOはパスワードレスで本人認証を行うための標準化された技術仕様の国際規格。標準化団体FIDO Alliance（ファイドアライアンス） には大手企業や団体250組織が名前を連ねる。最新のFIDO2はウェブ認証（WebAuthn：ウェブオースン）とデバイス連携仕様（CTAP：シータップ）により専用端末を必要とせず、一層のセキュリティと利便性向上を実現する。2022年5月にはApple、Google、Microsoftがサポート計画の拡大を表明。ウェブサイトやアプリで、デバイスやプラットフォームを問わない一貫した安全で容易なパスワードレス認証の普及を促進する。
◆DAuthの概要と認証の仕組み
DAuthはスマートフォンアプリやFIDO認証器を用いたパスワードレス認証を実現する、日本情報システムが開発提供するAPIサービス。二要素認証Yubi Plus(ユビプラス)のUSBセキュリティ鍵の利用も可能。FIDO2に加えて従来のワンタイムパスワードなどによる認証方法にも対応する。