あるIdP(Identity Provider)は,パスキー(Passkey)認証をサポートしており,利用者Aは,このIdPのFIDO認証器として,自分のスマートフォンの生体認証機能を登録してある。また,WebサーバBは,このIdPを使ってログインが可能である。利用者AのWebブラウザからWebサーバBにアクセスする際,利用者Aの生体情報を受信するもの,受信しないものの組合せのうち,適切なものはどれか。

選択肢

• ア利用者AのWebブラウザ:受信しない / WebサーバB:受信しない / IdP:受信しない
• イ利用者AのWebブラウザ:受信しない / WebサーバB:受信する / IdP:受信する
• ウ利用者AのWebブラウザ:受信する / WebサーバB:受信しない / IdP:受信しない
• エ利用者AのWebブラウザ:受信する / WebサーバB:受信する / IdP:受信する

正解と解説

正解：ア 利用者AのWebブラウザ:受信しない / WebサーバB:受信しない / IdP:受信しない

FIDOやパスキーの設計思想は、生体情報を認証器(この場合はスマートフォン)の内部だけに保持し、ネットワークへは一切送出しないことにある。認証器はローカルで生体照合を行い、成功したときだけ内部の秘密鍵でチャレンジに署名し、その署名だけをサーバ側へ渡す。したがってブラウザ・WebサーバB・IdPのいずれも生体情報を受信せず、アが正しい。

選択肢ごとの解説

• ア正しい。生体情報は認証器内に留まり、どこにも送信されない。
• イサーバやIdPが生体情報を受け取るという前提が誤り。
• ウブラウザにも生体情報は渡らない。認証器が署名だけを返す。
• エ生体情報がネットワークを流れるという前提そのものがFIDOの設計に反する。

同じ分野の他の問題

• 認証デバイスに関する記述のうち,適切なものはどれか。2025年度 秋期 午前II 問10
• パスワードに使用できる文字の種類の数をM、パスワードの文字数をnとするとき、設定できるパスワードの理論的な総数を求める数…2022年度 春期 午前II 問4
• 3Dセキュアは、ネットショッピングでのオンライン決済におけるクレジットカードの不正使用を防止する対策の一つである。3Dセ…2020年度 10月試験 午前II 問9
• 認証処理のうち、FIDO（Fast IDentity Online）UAF（Universal Authenticati…2019年度 秋期 午前II 問1
• 認証デバイスに関する記述のうち,適切なものはどれか。2018年度 春期 午前II 問9