次世代KYCのあるべき姿 - OpenID BizDay #14

Agenda
2
Copyright © 2021, OpenIDファウンデーションジャパン, All Rights
Reserved

サブWGテーマ「理想のKYC,市中のKYC」
3
Reserved

そもそもKYCとは
4
Reserved

本人確認５W1H
5
Reserved

本人確認の定義
6
Reserved

背景(1/4) 2019年度KYCWGにおける「理想の」本人
確認
7
Reserved

背景(1/4) 2019年度KYCWGにおける「理想の」本人
確認
8
Reserved
• 複数の本人確認手段の提供は
コスト・運用面から難しい
• 本人確認手段を束ねる外部事業
者（KYC Provider）が必要とな
る

背景(2/4) 海外の本人確認の事例
9
Reserved
パターン概要例
① 政府による本人確認を利用政府が発行した電子的な本人確認書類またはIDにより本
人確認を行う
エストニア（eIDカード）
インド（India Stack, Aadhaar）
② 銀行による本人確認を利用銀行口座開設時の本人確認済みの情報を利用し、銀行口
座のIDにより本人確認を行う
スウェーデン（Bank ID）
③ 携帯電話事業者による本人
確認を利用
携帯電話契約時の本人確認済みの情報を利用し、携帯電
話事業者のIDまたは電話番号で本人確認を行う
韓国（T Authenticaion）
アメリカ（Payfone, Zenkey）
GSMA（Mobile Connect）

背景(3/4) 中間強度の身元確認手段
10
Reserved

背景(4/4) コロナ禍でのデジタルシフト
11
Reserved

課題感
12
Reserved

本人確認業務の依拠による解決
13
Reserved

現在の本人確認手法
14
Reserved
KYC機能 or
KYC業務委託事業者
サービス事業者
提供サービス

本人確認の依拠
15
Reserved
銀行/
通信キャリア
サービス
事業者

本人確認の依拠（with アグリゲータ）
16
Reserved
サービス
事業者
KYC Provider
(アグリゲータ)
KYC事業者
銀行/
通信キャリア
仕様/実装の差異を吸収してサービ
ス事業者に統一的なIFを提供
要求された属性情報や本人確認のレベル
感に応じて問い合わせ先を選択

KYCを依拠しない場合とする場合の比較
17
Reserved
自社でKYCを行う場合
• 法令を則った独自仕様（属性情報やフォーマットなど）
• 必要十分な本人確認を行える
• 郵送であったり、本人確認の書類を読みとりなどのコスト
• 本人確認書類によっては、必要以上の情報を取得することになるリス
ク
• 対応する法令が増えた場合、追加で開発するなどの対応する必要があ
る
(KYC実施事
業者などに)
依拠する
KYC
自前で実施
するKYC
KYCを依拠する場合
• 本人確認結果のみを取得できる
• 必要な情報のみを要求、あるいはマッチング依頼することが可能
• （KYC Provider側が存在する場合）KYC情報の取得方法がある程度統一される
• KYCProviderをどこまで信頼できるか
• サービス事業者側からは本人確認を実施した主体が見えないかもしれない
• アクターが増えることによる複雑化（セキュリティ観点での問題など）
• 業法等による縛り/規制

KYC依拠において利用が想定されるプロトコル
18
Reserved

OpenID Connect for Identity Assurance
19
Reserved
RP OP
認証/認可
IDToken
OpenID Connectフ
ロー
サービス提供
/利用
"iss":"https://....com",
"sub":"24400320",
"aud":"s6BhdRkqt3",
…
"verified_claims“:{
…
}
※ 2019/12当時のフォーマット
最新の仕様ではJSONのフォーマットが変わっていると思われ
ます
"verified_claims":{
"verification":{
“trust_framework”:“de_aml”, //根拠とするトラストフレームワーク(根拠法)
"time":"2012-04-23T18:25Z",
"verification_process":"f24c6f-6d3f-4ec5-973e-b0d8506f3bc7",
"evidence":[
{
“type”:“id_document”,
“method”:“pipp”, //どのような方法で（pipp:対面）
“time”: “2012-04-22T11:30Z”,
"document":{
“type”:“idcard”,//根拠となるドキュメントの種類
“issuer”:{ //誰が発行したものか
"name":"Stadt Augsburg",
"country":"DE"
},
"number":"53554554",
“date_of_issuance”:“2010-03-23”,//発行日
“date_of_expiry”:“2020-03-22” //有効期限
}
}
]
},
“claims”:{ //検証済みの属性情報
"given_name":"Max",
"family_name":"Meier",
"birthdate":"1956-01-28"
}
}

OpenID Connect (分散クレーム)
20
Reserved
RP OP
Claims
ProviderB
AccessTokenA
AccessToken
IDToken
Res: 属性情報
Req: Claims
ProviderA
{
"iss": "https://server.example.com",
"sub": "248289761001",
…
"_claim_names": {
"verified_claims": "src1"
},
"_claim_sources": {
"src1": {
"endpoint": "https://server.yetanotherop.com/claim_source",
"access_token": "ksj3n283dkeafb76cdef"
}
…
以下を含む
• 参照先エンドポイント
• 参照時に必要な
AccessTokenA
AccessTokenA

OpenID Connect (集約クレーム)
21
Reserved
RP OP
Claims
ProviderA
Claims
ProviderB
IDToken
JWT
{
"iss": "https://server.example.com",
"sub": "248289761001",
…
"_claim_names": {
"verified_claims": "src1"
},
"_claim_sources": {
"src1": {
"JWT": …}
}
}
属性情報
{
"iss": "https://server.otherop.com",
"sub": "e8148603-8934-4245-825b-
c108b8b6b945",
"verified_claims": {
"verification": {
"trust_framework":
"ial_example_gold"
},
"claims": {
"given_name": "Max",
"family_name": "Meier",
"birthdate": "1956-01-28"
}
}
} Payload
以下を含む
• ClaimsProviderから取得した
JWT（属性情報）
JWT

TrustAnchor
KYC依拠で想定できる技術モデル
22
Reserved
RP
CSP
(IDP)
KYC
Provider
KYC情報
・サービス利用
（・身元確認）
（・当人認証）
・身元確認
・当人認証
・当人認証
（・身元確認）
AccessToken
Verifier
Claims
Provider
アクター説明備考
KYC Provider KYC情報を仲介するProvider. Claims ProviderのKYC情報を仲介し、RPに対して提供するアグリゲー
タ.
自身がClaims Providerとなることもある
アグリゲータ
Claims Provider ユーザの身元確認（本人確認）を行い、それらの属性情報を保持する主体. 銀行や通信キャリアな
ど
RP 本人確認結果を利用してユーザに対してサービス提供を行う主体. サービス提供事業者
CSP CredentialServiceProvider. ユーザのクレデンシャルを発行する主体.
KYC Providerと連動してKYC情報を提供するためのクレデンシャルをRPに対して発行する.
Verifier ユーザ認証を行う主体. ユーザから提示されたAuthenticatorを検証する。

• あくまで本人確認はサービス事業者が
行うもの
• 手続きの仕方が固定的に決まっている
市中における本人確認の依拠
23
Reserved

サービス提供事業者における本人確認の価値
24
Reserved
以下のステップで本来あるべき姿を検証していく
1. サービス事業者が依拠するユースケースの抽出
2. 依拠するための目的と要件
3. 技術モデルの検証と今後のKYCの展望

25
Reserved

ユースケースと目的の整理
26
Reserved
WG内で整理中
ユースケース業界・事業者 KYCの目的依拠する場合に欲しい情報適正な依拠先はどこか
身分証アップロードの
代替
タバコ・未成年への販売防止・年齢が20歳以上であるかどうか
・なるべく多くの国民が利用しているサー
ビス
インターネット異性紹介業・18歳未満を性犯罪などから保護・年齢が18歳以上であるかどうか
・なるべく多くの国民が利用しているサー
ビス
・年齢の確認ができているサービス
アカウント登録時フリマアプリ
・取引相手への信頼感の醸成による取引の活性化？
・決済方法によっては反社チェックが必須？
・正当な（偽造されてない）公的身分証かどうか？
・欲しい属性 (?) 氏名/生年月日/住所/電話番号
・公的な身分証でKYCを実施している機関
シェアリングエコノミー
・取引相手が実在する人なのか
・取引相手が不正、双方の犯罪の抑止
・サービスによって異なる？
（住所/連絡先/氏名/年齢など）
・公的身分証での本人確認を行い、住所情
報を定期的に確認している機関（顧客の登
録した住所で行うサービスなどでは必要）
圧着ハガキの代替金融機関
・新規登録やパスワード再発行時の本人確認用途
（＝転送不要郵便で実在する住所を確認）
→住所に居住する人にサービスを提供する
・その住所に今住んでいるかどうか・犯収法に基づいて本人確認を行っている、
他の金融機関
電気・ガス会社
同上
サービスの提供場所＝住所であるはず
同上
・住所情報を定期的に確認している機関
電話番号・メールアド
レス存在確認の代替
会員登録が必要なサービス
・当人性？の精度向上
・ビジネスリスクの低減
（反社チェック、支払い能力保証）
・欲しい属性 (?)
氏名/生年月日/住所
・疎通確認を定期的に行えている機関
コールセンターへの電
話での本人確認
コールセンターサービスを
展開する事業者
電話口の顧客が本人かどうかを確認したいので知識
認証
・欲しい属性 (?)
氏名/生年月日
・当人認証が可能
・（属性情報を必要とするなら）属性情報
の真正性を確認している
携帯電話契約携帯キャリア
・振り込め詐欺などに携帯電話番号を悪用されるこ
とを防止
・本人が追跡できる情報・同等の確認を行っている携帯キャリア/
銀行など
馬券購入
・馬券を購入できる年齢かどうか
（ギャンブル可能な分別があるか？）
・年齢が20歳以上であるかどうか・年齢の確認ができているサービス
（身分証アップロード
の代替）
レンタカー
・免許の種類、有効期限
・運転免許証の住所が現住所であるか
・運転免許証の有効性（不正に作成されたものでない
か）
・現住所
・直近の免許証情報を保持している事業
者？
研修受講研修機関
・申請者本人であるか
・受講要件（年齢、職歴など）に適合しているか
・年齢、職歴などの受講要件
・資格監督機関
・求人サービス
第三者審査審査機関
・申請者、申請会社の実在性
・部外者（コンサルなど）が関与してないか
・申請会社の実在性
・申請者、担当者が所属しているか
・認証監督機関
・入札元（国、自治体、民間企業）

目的から見えてくる要件
27
Reserved

まとめ
28
Reserved

https://www.meti.go.jp/press/2020/04/20200417002/20200417002-1.pdf
https://www.fsa.go.jp/news/30/sonota/20181130/01.pdf
https://www.openid.or.jp/news/oidfj_kycwg_report_20200123.pdf
引用
29
Reserved

次世代KYCのあるべき姿 - OpenID BizDay #14

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (20)

Similaire à 次世代KYCのあるべき姿 - OpenID BizDay #14

Similaire à 次世代KYCのあるべき姿 - OpenID BizDay #14 (19)

Plus de OpenID Foundation Japan

Plus de OpenID Foundation Japan (20)

次世代KYCのあるべき姿 - OpenID BizDay #14