Nc 30 sakimura-distribution_0604

NC-30: クラウドセキュリティ標準化動向
（２）

クラウドにおけるアイデンティティ管理
＆プライバシー保護の国際標準化最新動向

2012年6月15日
株式会社野村総合研究所上席研究員
（ISO/IEC JTC1 SC27 WG5 国内主査）
崎村夏彦
http://www.sakimura.org
twitter: @_nat

Identityって何？

2
（c） 2012 by Nomura Research Institute, ltd. All rights reserved.

Identity

Set of attributes related to an entity
ある実体（人・もの・組織）に関する属性の集合
[ISO/IEC 24760]

3

自観と他観のずれ
＝対人関係の悩み

誕生日
自観
身長
自己像性別
他観
(Identity)
メアド
呼び名

恋人
住所関係性

コンテキスト
実体
(Entity)

性別身長
他観
社員番
本名
号
自己像
(Identity)
住所資格
関係性
自観
役職実績

自観と他観のずれコンテキスト
＝対人関係の悩み
4

何で重要なの？

5

（出所） C. Mortimore “open, mobile, social”, Cloud Identity Summit 2011
6

7

8

In the Cloud we live.

（出所）Microsoft Office Online

9

The walled fortress is done

(出所) http://en.wikipedia.org/wiki/File:Palazzo_Medici-Riccardi_-_walled_garden_1.jpg

10

Identity is the New Perimeter

（出所） http://www.cloudidentitysummit.com/

11

Federated Identity &
Access management

12

Identity

Credential User
Agent

Entity

（出所） C. Mortimore “open, mobile, social”, Cloud Identity Summit 2011をもとにNRI作成
13

Identity Ecosystem

14

なぜ標準化するの？

15

16

分断された市場～Fragmented Market

17

Identity Ecosystem

18

IETF 83 Paris (Mar, 2012)

19

OpenID Connect Workshop @ EIC 2012

20

OpenID Connect WG F2F @ Microsoft (May 2, 2012)

21

Internet Identity Workshop (IIW) XIV

22

Tell me what is “Privacy” @ IIW XIV (2012 May)

23

ISO/IEC JTC1 SC 27 / WG 5 @ Stockholm, May 2012

24

プライバシーって、何？

25

26

Data
Privacy Protection

Scott David
ED of Law, Technology & Arts Group
University of Washington
IIW IX “Tell me What Is Privacy” より 27

Privacy = Private + -cy

Private は、ラテン語の Privatus より。
 Privatus = 他から分離して、自身に帰属させた。

「publicus(公共の)」
「communis(共同体の)」
28

Warren & Brandeis : Right to be let alone
 「Rigth to be let alone」～ Cooley 判事より
Personal immunity. The right to one’s person may be
said to be a right of complete immunity: to be let
alone. (出所)Treatise of the Law of Torts by Thomas McIntyre Cooley (Callaghan, 1888)

「個人の不可侵 (Complete Personal immunity）の権利」
「個人の肉体及び精神の自由の不可侵の権利」
自己に対する自己の主権、すなわち人間の自由の権利
「These considerations lead to the conclusion that the protection afforded to
thoughts, sentiments, and emotions, expressed through the medium of writing
or of the arts, so far as it consists in preventing publication, is merely an
instance of the enforcement of the more general right of the individual to be let
alone. 」
(出所)Warren and Brandeis, “The Right to Privacy”, Harvard Law Review,
Vol. IV December 15, 1890 No. 5
29

（他人の自由を侵害しない限り）自
分に属する情報 etc. は自分がどう
使うか決めて良い～情報流通の自由
でもある。
例えば
…プロフィール情報を共有するな
ど。

30

（出所）日経コミュニケーションズ 2012年3月号 P.24

31

プライバシー（自己の自由）の権利
財産権

表現の自由

著作権
個人情報保護

名誉毀損
身体の自由
狭義のプライバシー権

32

守るべきはプライバシーであって、
個人情報ではない

個人情報保護法は、プライバシーを守るための一手段。
それだけやれば良いというものではない

33

財産権
表現の自由

著作権
その他
名誉毀損
身体の自由

財産権
表現の自由

著作権
その他
名誉毀損
身体の自由

34

法的要求

人々の期待

A国 B国 C国 D国 E国 F国

(出所) Ian Glazer の IIW IX “Tell me what is Privacy”
での白板の図をもとに作成
35

個人情報保護かプライバシー保護か？

個人情報保護個人
情報
取扱事業者に於ける安全管理個人
個人
情報
処置情報
秘するも
の
プライバシー保護
「自己に関する情報を適宜選
択して相手に提供し、自分の
混ぜるな危険！
望む自己像を相手に認識して
もらうようにすることによっ
て関係性を改善してゆく権
利」の保護御するも
の
36

デジュール標準とデ・ファクト標準

37

ISO/IEC SC27/WG5 Identity Management & Privacy

Identity & Access
Privacy
Management
24760 A framework for identity 29100 Privacy Framework
management 29101 Privacy architecture
29115 Entity authentication framework
assurance framework 29190 Privacy Capability
29xxx Identity Proofing Assessment
24761 Authentication Context for  27018 Code of practice for data
Biometrics protection controls for public cloud
29191 Requirements for partially computing services
anonymous, partially unlinkable  29xxx Personal Information
authentication. Controls?
29146 A framework for access  29xxx Privacy Impact Analysis
management etc.
38

Foundation
OpenID Connect Account Chooser
Messages  Local Account Chooser
Standard  Central Account Chooser
Dynamic Registration
Discovery
Session Management
-----
Basic Client Profile

39

Internet Engineering Task Force
(Internet Society)

Open Authorization Javascript Object Signature
Framework (OAuth) and Encryption (JOSE)
OAuth Framework 2.0 JSON Web Signature
OAuth Bearer Token JSON Web Encryption
JSON Web Token (JWT) JSON Web Keys
etc. JSON Web Algorithm

Others:
Webfinger / SWD
Simple Cloud Identity
Management (SCIM)

40

Kantara Initiative
技術的標準化団体ではない。
要求事項作成、標準案作成、プロファイル作成、認定事業など

Attribute Management DG Japan WG
Business Cases for Trusted
Federations DG NSTIC DG

Consumer Identity WG Open Source Support Initiative
WG
eGovernment WG
Privacy and Public Policy WG
Federation Interoperability WG
Telecommunications Identity WG
Health Identity Assurance WG
Trust Framework Meta Model WG
Identity Assurance WG
User Managed Access WG
Information Sharing WG

41

ISO/IEC SC27/WG5 Identity Management & Privacy

Identity & Access
Privacy
Management
24760 A framework for identity 29100 Privacy Framework
management 29101 Privacy architecture
29115 Entity authentication framework
assurance framework 29190 Privacy Capability
29xxx Identity Proofing Assessment
24761 Authentication Context for 27018 Code of practice for data
Biometrics protection controls for public cloud
29191 Requirements for partially computing services
anonymous, partially unlinkable 29xxx Personal Information
authentication. Controls?
29146 A framework for access 29xxx Privacy Impact Analysis
management etc.
42

ISO の標準的プロセス
• Study Period

• New Work Item

• Working Draft

• Committee Draft

• Draft International Standard

• Final Draft International Standard

• International Standard
43

24760 A framework for identity management
Part 1: Terminology and concepts (IS)
Part 2: Reference architecture and requirements (WD)
Part 3: Practice (WD)

（出所）ISO 24760-1:2011 P.13

44

29115 Entity authentication assurance framework
FDIS

Technical
Management
&
LoA
Organizational
• Application and initiation
• Record-keeping • Service establishment
4
Enrolment
• Identity proofing
phase recording • Legal and contractual
• Identity verification
• Registration compliance
• Financial provisions
• Information security
• Credential creation • Credential storage management and audit
Credential
management
• Credential pre-processing
• Credential initialization
• Credential suspension,
revocation, and/or
• External service
components 3
• Credential binding destruction • Operational
phase • Credential issuance • Credential renewal infrastructure
• Credential activation and/or replacement • Measuring operational
• Record-keeping
2
capabilities

Entity
• Authentication
authentication
• Record-keeping
phase

Figure 1 – Overview of the Entity Authentication Assurance Framework 1
45

29xxx Identity Proofing
New Work Item
29115 で十分に取り扱えなかった、「身元確認」を標準化
New Zealand : Evidence of Identity Standard などを参照

何をもって「身元確認」とするか？

例：住民票は身元確認書類としてはどのレベルにあるのか？
例：オンラインバンキングのログインは、身元確認として使える
か？
例：本質的な身元確認はどうしなければならないか？

46

29146 A framework for access management
Working Draft

Authenticated Identity を所与として、これに対してどのように
アクセスコントロールがされてゆくべきかというフレームワーク

29146 WD6 Fig. 4

47

commended. Exceptions to these principles should be limited.

29100 Privacy Framework
privacy principles form the basis for this International Standard.

IS Table 3 – The privacy principles of ISO/IEC 29100

1. Consent and choice
2. Purpose legitimacy and specification
3. Collection limitation
4. Data minimization
5. Use, retention and disclosure limitation
6. Accuracy and quality
7. Openness, transparency and notice
8. Individual participation and access
9. Accountability
10. Information security
11. Privacy compliance

（出所) ISO/IEC 29100:2011 Privacy Framework

and choice
48

ISO 29100 の Actors

consent PII
PII

PII controllers PII processors

PII
PII principals

Third parties -> PII Controllers 49

プライバシーリスクマネジメントに影響を与える要
ISO/IEC FDIS 29100:2011(E)
素

Legal and
Contractual factors Business factors Other factors
regulatory factors

Privacy risk management
• International, • Agreements between • Specific • Privacy preferences
national and local and among several characteristics of an of PII principal
laws different actors envisaged
application or its
context of use
Examples

• Regulations • Company policies • Industry guidelines, • Internal control
and binding codes of conduct, systems
corporate rules best practices or
• Judicial decisions standards
• Agreements with • Technical standards
work councils or
other labour
organizations

Figure 1 – Factors influencing privacy risk management
(source) ISO/IEC 29100 as part of the — Security techniques — management
Privacy safeguarding requirements are identified Information technologyoverall privacy riskPrivacy framework
which is influenced by the following factors (as depicted in Figure 1 above and described below):
50

Foundation
OpenID Connect Account Chooser
Messages  Local Account Chooser
Standard  Central Account Chooser
Dynamic Registration
Discovery
Session Management
-----
Basic Client Profile

51

Working Together

OpenID Connect

52

OpenID Connectの場合
ID Token
(JWS)

1. あなた、誰？紹介状
もらってきて。メアドも
忘れずに。 2. 伊部さんにロッカーの
鍵と紹介状を渡して。執事

4. はい、どうぞ。 3. はい、どうぞ。

別庭さん有栖さん

ロッカー鍵作製：2011/5/15 11:00:04 ロッカー
鍵作製：2011/5/15 11:00:04
認証レベル：2 認証レベル：2
確認者：Google 確認者：Google
Oauth 2.0
Access
Token

53

OpenID Connectのクレーム集約、分散クレーム

UserInfo Endpoint

ロッカー氏名：有栖和歌子
生年月日：平成元年３月３日
性別：女
住所：千代田区１－３－５

別庭さん
サイトX

サイトY
サイトZ

54

Open Authorization Framework
（認証を受けたユーザによる同意に基づく）アクセス権を
「移譲 (delegate)」するプロトコル。

Access Token Access Token

認可
Authorization

認証済み Client
Resource Owner Protected
(Service)
Authorization Resource
Server
データ／他

※ 認証では無いので注意

55

JOSE Working Group
Javascript Object Signature and Encryption WG
JSON Web Signature
JSON Web Encryption etc.

特徴
Canonicalize しない → 実装楽。より良い互換性。
Encryption では AEAD必須 → より良いセキュリティ。
6月中にWG Last Call の予定

56

SCIM Simple Cloud Identity Management


http://www.simplecloud.info/
クラウド・サービスにおけるア
イデンティティ・プロビジョニ
ング・インタフェースの共通仕
様（を目指す）
特長
RESTful API
CRUD (Create, Read, Update,
Delete) に特化
シンプルで拡張しやすいユー
ザー・スキーマ Source:

Salesforce.com, Google, Cisco http://www.simplecloud.info/sp
ecs/draft-scim-scenarios-
(WebEx), VMware など、有力クラ 04.html

ウド・サービス・プロバイダが参
57

SCIM の例（ユーザー生成）

CSP HTTP/1.1 201 Created
POST /User HTTP/1.1 （e.g. クラウドサービス事 Content-Type: application/json
Host: example.com 業者） Location:
Accept: application/json http://example.com/v1/User/uid=bjensen,dc=example,dc=
Authorization: Bearer h480djs93hd8 com
ETag: "e180ee84f0671b1"
Content-Length: ...

{
{
"schemas":["urn:scim:schemas:core:1.0"],
"schemas":["urn:scim:schemas:core:1
追加処理 "id":"uid=bjensen,dc=example,dc=com",
.0"],
リクエレスポン "meta":{
"userName":"bjensen",
ストス "created":"2011-08-01T21:32:44.882Z",
"externalId":"bjensen",
"lastModified":"2011-08-01T21:32:44.882Z"
"name":{ },
"formatted":"Ms. Barbara J Jensen "name":{
III",
"formatted":"Ms. Barbara J Jensen III",
"familyName":"Jensen", "familyName":"Jensen",
"givenName":"Barbara" ECS "givenName":"Barbara"
} （e.g. クラウドサービス利
},
用企業）
} "userName":"bjensen"
}

Source: https://groups.google.com/forum/#!topic/cloud-directory/w-WgLPmw6gQ 58

Kantara Initiative
技術的標準化団体ではない。
要求事項作成、標準案作成、プロファイル作成、認定事業など

Attribute Management DG Japan WG
Business Cases for Trusted
Federations DG NSTIC DG

Consumer Identity WG Open Source Support Initiative
WG
eGovernment WG
Privacy and Public Policy WG
Federation Interoperability WG
Telecommunications Identity WG
Health Identity Assurance WG
Trust Framework Meta Model WG
Identity Assurance WG
User Managed Access WG
Information Sharing WG

59

意味ある同意

60

（出所）Facebook 61

読んで、理解していますか？

62

（出所） StandardLabel.org 63

利用者が読んで理解して同意してい
ると考えるのは合理的ですか？

64

Standard Information Sharing
Label

（出所） StandardLabel.org 65

User Managed Access

Client Registration が、IETF
OAuth WG で規格化される方向。

66

OASIS Open
•OASIS Biometric Identity Assurance Services (BIAS) Integration TC
• Defining methods for using biometric identity assurance in transactional Web services and SOAs
•OASIS Cross-Enterprise Security and Privacy Authorization (XSPA) TC
• Enabling the interoperable exchange of healthcare privacy policies, consent directives, and
authorizations
•OASIS Electronic Identity Credential Trust Elevation Methods (Trust Elevation) TC
• Defining a set of standardized protocols to elevate trust in an electronic identity
•OASIS Identity in the Cloud TC
• Developing profiles of open standards for identity deployment, provisioning and management in cloud
computing
•OASIS Identity Metasystem Interoperability (IMI) TC
• Advancing interoperability standard for Information Cards
•OASIS Open Reputation Management Systems (ORMS) TC
• Advancing the ability to use common data formats for representing reputation data
•OASIS Privacy Management Reference Model (PMRM) TC
• Providing a guideline for developing operational solutions to privacy issues
•OASIS Provisioning Services TC
• Providing an XML framework for managing the provisioning and allocation of identity information and
system resources within and between organizations
•OASIS Security Services (SAML) TC
• Defining and maintaining a standard, XML-based framework for creating and exchanging security
information between online partners
•OASIS Transformational Government Framework TC
• Advancing an overall framework for using IT to improve delivery of public services
•OASIS Web Services Federation (WSFED) TC
• Extending identity management to enable federations of trust across organizations

67

Identity in the Cloud TC
Identity deployment, provisioning, management に関
するオープン標準のクラウド用プロファイルを作成
TCの文書第一弾として、ユースケース集をCommittee
Note として発表 (5/8)
bit.ly/LY48qr
２９のユースケースについて、
▪ Description /User Story
▪ Goal or Desired Outcom
▪ Notable Categorization and Aspects
▪ Process Flow を整理
例：
▪ UC20 Government Provisioning of Cloud Services
▪ UC21 Mobile Customers’ Identity Authentication Using a Cloud
Provider
68

今後のエンタープライズIdM

69

旧き良き時代のエンタープライズ IdM
アクセス保
企業護
Web
アプリケーショオーソリテイ
ンティブ・
ソース（人事
認証 Web システムなど）
アプリケーショ
ン

ユーザーアイデンティ
ティ・プロビジョニン
（Webブラウ
リポジトリ / グ・
ザ）
SSOシステムシステム

Web
ン
プロビジョ
アクセ Web
ニング
スアプリケーショ
ン
70

最近のエンタープライズ IdM

SaaSプロバイ
ダ

企業 Web
オーソリテイ
ティブ・
アプリケーショソース（人事
ンシステムなど）
ユーザーアイデンティ
（Webブラウティ・
ザ）リポジトリ /
SSOシステムプロビジョニン
グ・
Web システム
ン

Web
ン
71

今後のエンタープライズ IdM

ユーザー・
エージェント
SaaS
（外部サービス） API
プロバイダ

ユーザー・
エージェント API SaaS
（モバイルApp）プロバイダ

アイデンティティ・
リポジトリ / SSO /
企業トークン管理システム

ユーザー・オーソリテイティ
エージェントブ・
（Webサービス）ソース（人事
システムなど）
API Web
ユーザー・
サービス
エージェント
（デスクトップ
App）
プロビジョニン
ユーザー・ API Web グ・
エージェントサービスシステム
（Webブラウ
ザ）
72

さらに今後のエンタープライズ IdM

ユーザー・
エージェント SaaS オーソリテイティ
API
（外部サービス）プロバイダブ・
ソース（人事
SaaSなど）
メガSaaS
ユーザー・プロバイダ
エージェント API
（モバイルApp）
プロビジョニング /
アイデンティティ・
リポジトリ / SSO /
企業トークン管理サービ
ス
ユーザー・
エージェントプロビジョニング
（Webサービス） SaaS

ユーザー・
エージェント
SaaS
（デスクトップ
API プロバイダ
App）
ユーザー・
エージェント
（Webブラウ SaaS
API プロバイダ
ザ）

73

さらに今後のエンタープライズ IdM

ユーザー・
エージェント AP SaaS オーソリテイ
（外部サービ I プロバイダティブ・
ス）ソース（人事
メガSaaS SaaSなど）
ユーザー・プロバイダ
エージェント AP
（モバイル API AM: I
プロビジョニング
App） /
OAuth 2.0 アイデンティ
企業ティ・
リポジトリ / SSOプロビジョニン
ユーザー・
エージェントアイデンティ /
トークン管理サーグAPI: SCIMプロビジョニン
（Webサービグ
ス）ティAPI: ビス
SaaS
ユーザー・
エージェント OpenID Connect SaaS
（デスクトップ AP プロバイダ
App） I
ユーザー・
エージェント
（Webブラウ SaaS
AP
ザ） I
プロバイダ

74

Identity Provider Client
Components Standards Components Standards
Identity API OpenID Connect Access Control OAuth 2.0
Access Delegation OAuth 2.0 Core Privacy Enhancing ISO 29191 etc.
Entity Authn ISO29115 Technology (PET)
Assurance PII Management ISO 27017, 18
Identity Proofing ISO29xxx
Identity SCIM Protected Resource
Provisioning Components Standards
Privacy Framework ISO2910x Access Control OAuth 2.0
Privacy Enhancing ISO 29191 etc. Bearer
Technology (PET) AC Framework ISO24760
Permissionning Standard Label, Resource UMA
etc. Registration
PII Management ISO 27017, 18 Privacy Enhancing ISO 29191 etc.
IdM Framework ISO27460 Technology (PET)

PII Management ISO 27017, 18 75

76

Nc 30 sakimura-distribution_0604

Recomendados

Recomendados

Mais conteúdo relacionado

Mais de Nat Sakimura

Mais de Nat Sakimura (20)

Último

Último (7)

Nc 30 sakimura-distribution_0604