1. Multiple Personae,
One “Persona”
#idcon 14
@bkihara
https://lepidum.co.jp/ 2012 Lepidum Co. Ltd.

2. ぺるそな?

3. PERSONA
http://www.hitachi.co.jp/New/cnews/9904/0405.html より引用

4. Personas

5. Persona?
着せ替え
ログイン

6. Mozilla Persona

7. Mozilla Persona
• 「ログインのためのより良い方法」

8. より良い?
• たくさんのパスワードを必要としない
• 複数のメールアドレスを使い分けられる
• decentralized
• “Real Privacy”
– Personaは非営利
– Personaはトラッキングを行わない

9. BrowserID? Persona?
• BrowserID はプロトコルの名前
– 昔は Verified Email とも呼ばれていました
• Mozilla Persona はシステム・ブランドの名前

10. 簡単な解説
• Beta1の簡単な解説を少し
– https://github.com/mozilla/
id-specs/blob/beta1/browserid/index.md
• ID厨の皆様には不要かもしれませんが…

11. サインインするには

12. RPのスクリプト
• navigator.id.watch({
onlogin: function(assertion) {
// send assertion
}
:
}
function onClickSignin(function() {
navigator.id.request();
}

13. サインインを始めると

14. BrowserID の API が呼ばれて
• navigator.id.watch({
onlogin: function(assertion) {
// send assertion
}
:
}
function onClickSignin(function() {
navigator.id.request();
}

15. BrowserID の UI があらわれ

16. コールバックに assertion が渡り
• navigator.id.watch({
onlogin: function(assertion) {
// send assertion
}
:
}
function onClickSignin(function() {
navigator.id.request();
}

17. RP に assertion が渡り
Assertion

18. RP が assertion を検証し
Assertion

19. Cookie とかを返したりして
Cookie, etc.

20. GOURANGA!!
Cookie, etc.

21. うん?
• Assertion?
• 検証?

22. Identity Assertion
• assertion=
eyJhbGciOiJSUzI1NiJ9
.eyJwdWJsa…
.IhnfWz…
~
eyJhbGciOiJEUzEyOCJ9
.eyJleHAiOj...
.FL_----…

23. eyJ…?

24. eyJ…!

25. eyJ… ~ eyJ…
• 複数のJWT をチルダ ‘~’ でつないでいる

26. eyJ (1)
{“alg”:”RS256”}
.
{“public-key”: {“algorithm”:”DS”, ”y”:”...”},
“principal”: {“email”:”bkihara.l@gmail.com”},
“iat”:…, “exp”:…, “iss”:”mail.example.com”}
.
<JWSの署名(メールプロバイダからもらう)>

27. eyJ (1)
{“alg”:”RS256”}
.
{“public-key”: {“algorithm”:”DS”, ”y”:”...”},
“principal”: {“email”:”bkihara.l@gmail.com”},
Browser key pair
“iat”:…, “exp”:…, “iss”:”mail.example.com”}
pubkey
.
<JWSの署名(メールプロバイダからもらう)>

28. eyJ (1) IdP key pair
pubkey
{“alg”:”RS256”}
.
{“public-key”: {“algorithm”:”DS”, ”y”:”...”},
“principal”: {“email”:”bkihara.l@gmail.com”},
Browser key pair
“iat”:…, “exp”:…, “iss”:”mail.example.com”}
pubkey
.
<JWSの署名(メールプロバイダからもらう)>

29. eyJ (2)
{“alg”:”DS128”}
.
{“exp”:…, “aud”:”http://current.openphoto.me”}
.
<JWSの署名(ブラウザが生成する)>

30. eyJ (2)
{“alg”:”DS128”}
.
{“exp”:…, “aud”:”http://current.openphoto.me”}
.
<JWSの署名(ブラウザが生成する)>
Browser key pair
pubkey

31. Send assertion
Assertion

32. 検証
IdP
pubkey
/.well-known/browserid
Assertion

33. 検証
IdP
pubkey
Assertion

34. 全体像
RP IdP
IdP
pubkey
Assertion Sig.
Browser
Sig. pubkey
Browser

35. 従来のログイン
SP Email
Onetime URL
example.com/?a=eyJ...
HTTP GET Onetime URL
example.com/?a=eyJ...
GET /?a=eyJlbWF…
Host: example.com
…
Mailer

36. 未対応という問題

37. 未対応メールプロバイダ
/.well-known/browserid …?
Not Found.

38. 未対応ブラウザ
navigator.id.request() …?
Undefined.

39. persona.org!!

40. Fallback IdP
• persona.org が代わりに
ユーザの公開鍵を署名 IdP key pair
pubkey
Signed
{“public-key”: {“algorithm”:”DS”, ”y”:”...”},
“principal”: {“email”:”bkihara.l@gmail.com”},
“iat”:…, “exp”:…, “iss”:”login.persona.org”}.

41. Fallback IdP
RP Email
IdP
pubkey Onetime URL
example.com/?a=eyJ...
Assertion
persona.org
Sig.
Browser
pubkey
Mailer
Browser

42. Fallback API
• JavaScript が代わりに
navigator.id.* を提供
Persona key pair
pubkey
Signed
{“exp”:…, “aud”:”http://current.openphoto.me”}.

43. Fallback API
RP IdP
IdP
pubkey
persona.org
Assertion
Sig.
Persona
Sig. pubkey
Browser

44. Fallback * Fallback
• 合わせると…?

45. Fallback * Fallback
persona.org
RP Email
IdP
pubkey Onetime URL
example.com/?a=eyJ...
Sig.
Assertion
Persona
pubkey
Browser
Mailer

46. あれっ?
RP IdP
IdP
pubkey
Assertion Sig.
Browser
Sig. pubkey
Browser

47. BrowserID – Browser – Email = ?
persona.org
RP Email
IdP
pubkey Onetime URL
example.com/?a=eyJ...
Sig.
Assertion
Persona
pubkey
Browser
Mailer
Decentralized?

48. これじゃだめ?
OpenID Connect OP
RP
IdP
pubkey
ID Token
Sig.
Browser

49. *Browser*ID
• ブラウザが鍵ペアを生成する
• 多段階の署名を付ける
– これらがキモ! (のはず)
• 少なくともブラウザ側実装はほしいですね
• Web Cryptography API もできることですし

50. ネイティブ実装
• Firefox 向け実装は作業中
– https://wiki.mozilla.org/Identity
• B2G (Firefox OS) にも実装される予定
– https://wiki.mozilla.org/Identity/WeeklyMeeting/
2012-09-24
– 課金とか?

51. ネイティブ実装
• スマホでアプリ間認証とか IdP
RP APP ID APP
Sig.
IdP
Assertion ID
pubkey pubkey

52. まとめ
• ブラウザの鍵ペアと多段階の署名がキモ
• 現状では fallback 中心で理想から遠い
• 今後に期待?

53. ところで

54. メールと言えば

55. メールでのログイン
SP Email
Onetime URL
example.com/?a=eyJ...
HTTP GET Onetime URL
example.com/?a=eyJ...
GET /?a=eyJlbWF…
Host: example.com
…
Mailer

56. メールでのログイン
• メールプロバイダはIdPなのか?
– ユーザのメールアドレス所持を(一応)保証
– パスワード再発行 (refresh token?) の依代
– Assertionは? Tokenは?
– Identifier Provider か?
ぼくID厨じゃないんでわかんないです
• 何にせよ乗っ取られると多大な被害

57. 乗っ取られると
今はOpenIDなどセキュリティを
外付けにすることが多いが、これは
危ない。特にツイッターやFacebookは
外部アプリが多いので、変なのが
まぎれこんでもわからない。
セキュリティだけは内部でやってほしい。
• ID連携は悪らしい

58. 内部でやった結果
name@example.com
Same_Password

59. 内部でやった結果
Same_Password

60. 内部でやった結果
Same_Password
大惨事!!!

61. 結論
• パスワードはサービスごとに変えましょう
• パスワードは減らしましょう
• ID連携がパスワードを減らします
• メールだいじ！おおごと！