ホーム > 情報処理安全確保支援士試験 > 2024年 秋期
情報処理安全確保支援士試験 2024年 秋期 午前2 問07
あるIdP(Identity Provider)はパスキー(Passkey)認証をサポートしており、利用者AはこのIdPのFIDO認証器として自分のスマートフォンの生体認証機能を登録してある。またWebサーバBはこのIdPを使ってログインが可能である。利用者AのWebブラウザからWebサーバBにアクセスする際、利用者Aの生体情報を受信するもの、受信しないものの組合せのうち、適切なものはどれか。
ア：（正解）
イ：
ウ：
エ：
解説
パスキー認証はFIDO（Fast IDentity Online）規格に基づく強力な認証方式の一つであり、利用者の生体情報などの秘密情報は端末内の認証器に安全に保持されます。この問題では、利用者Aがスマートフォンの生体認証機能をFIDO認証器としてIdP (Identity Provider)に登録し、WebサーバBがそのIdPを使ってログインを行う場合の、生体情報の受信者について問われています。
パスキー認証における生体情報の流れと取り扱い
-
生体情報の保護
FIDOパスキーの認証方式では、生体認証情報（指紋や顔認証の特徴データなど）は決してサーバやブラウザに送信されません。生体情報はユーザの端末内（認証器）でのみ使用され、その結果としての認証処理（例：署名の生成）を行います。 -
認証処理の役割分担
- 利用者のスマートフォン（認証器）では、生体情報を用いて利用者本人であることを確認します。
- 認証器は生体情報を扱った後、認証に必要な公開鍵暗号の署名を生成し、その署名のみをブラウザやIdPに提供します。
- ブラウザやIdP、Webサーバは生体情報を見ることなく、署名の検証を行い認証を成立させます。
-
受信者の整理
- 利用者AのWebブラウザ：生体情報は受け取らず、認証器から署名等の証拠だけを受け取ります。
- WebサーバB：IdPから送信される認証結果情報（署名などの検証可能なデータ）を受け取りますが、生体情報自体は受け取りません。
- IdP：認証の管理主体ですが、生体情報を受け取ることはありません。認証器の署名を検証し、認証の真偽を判定します。
よって、
- 生体情報は誰にも受信されません。
- 生体情報の代わりに、署名やトークンなどの認証に必要な情報だけが通信されます。
問題の選択肢に対する結論
この組み合わせが正しいので、選択肢「ア」が正解です。
まとめ
パスキー認証では、生体情報は認証器内に厳重に保護されており、Webブラウザ、IdP、Webサーバのいずれも生体情報を直接受信・保有しません。この設計により、生体認証の安全性とプライバシー保護が確保されています。したがって、生体情報がどこかに送信されると誤解されやすい選択肢は誤りになります。