事務局メンバーによる、OpenID関連のあれやこれや
2026年10月5日、デンマーク政府は、同国の国民登録簿であるCentral Person Register(CPR)において、権限のない第三者が約880万人分のデータにアクセスしたと発表しました。このデータには、居住者、国外在住者、死亡者の氏名、住所、CPR番号が含まれています。この攻撃は、ある企業が持つ登録簿への正当なアクセス権を悪用したものです。現在、警察が捜査を進めています。
今回の侵害は、既存の助言の正しさを改めて裏付けています。すなわち、組織はユーザーの認証に個人データを用いるべきではない、ということです。
多くのサービスでは、今でも本人確認のために、住所、ID番号、生年月日などの個人情報の確認を求めています。これは知識ベース認証と呼ばれます。しかし、これはその人がデータを知っていることを示すだけで、本人が主張するとおりの人物であることを示すものではないため、保証レベルは低くなります。
個人データはユーザー認証には適していません。ソーシャルメディアやデータ侵害を通じて容易に入手できることが多く、単に推測できる場合もあります。また、パスワードとは異なり、一度漏えいすると簡単には変更できません。
今回の侵害は、これまで公開されていなかった個人データであっても、いつでも漏えいし得ることを示しています。こうした侵害は、長年にわたる世界的な問題です。これまでにも他国で国民ID情報やその他の個人データが流出しており、その例として2016年のトルコや、インドでの複数のインシデントが挙げられます。インドでは、Aadhaar番号のコピーを保持していた第三者のシステムから、Aadhaar番号が流出しました。
知識による確認項目を増やすことは短期的には役立つかもしれませんが、そのデータも次の侵害で漏えいする可能性があります。さらに、追加の確認に用いるデータがすでに漏えいしていないことを検証するのは困難です。
セキュリティに関するガイダンスも、この点を反映しています。たとえばNIST SP 800-63-4は、知識ベース認証は「デジタル認証において許容可能なシークレットとはならない」としています。
今回の侵害を受けて、デンマークのResilience Agency(レジリエンス庁)は新たなガイダンスを公表し、流出したデータを用いた知識ベース認証は、アカウント復旧などの高リスクの場面では十分とみなすべきではないとしています。
同庁が第一に推奨しているのは、国の電子IDに基づく強力な認証を用いることです。
多くの組織では、ユーザーがオンラインでログインする際に、認証アプリや国の電子IDなどによる強力な認証をすでに使用しています。OpenID Connectは、こうした認証方式を提供するIDプロバイダーとの連携に広く使われている標準です。しかし、電話対応のように強力な認証の実装が難しい場面では、今でも知識ベース認証がよく使われています。攻撃者は組織のセキュリティモデルの中で最も弱い部分を狙います。そして個人データが漏えいした場合、その弱点は電話窓口やアカウント復旧プロセスであることが少なくありません。
アクセスが許可されるのと同じデバイス上でユーザーを認証することが、依然として最も安全な選択肢です。電話対応ではそれができませんが、ユーザーが別のデバイスで確認を行う、いわゆる「decoupled」flowであれば、強力な認証を行うことは可能です。たとえば、カスタマーサポート担当者が通話中に、発信者の電子IDアプリへ直接リクエストを送ることができます。OpenID Connect Client-Initiated Backchannel Authentication(CIBA)は、これを実現するために策定された標準です。
decoupled flowでは、フィッシングや中間者攻撃を防ぐために、さらなる注意が必要です。特に組織は、認証を特定の通話に結び付けて攻撃を困難にするchannel bindingを実装すべきです。その方法の1つとして、ユーザーの認証アプリにランダムなコードを表示し、ユーザーがそれを担当者に読み上げ、担当者は自社のシステムが送信したリクエスト内のコードと一致することを確認してから手続きを進める、というものがあります。
オープン標準を基盤とすることで、強力な認証の実装と保守が容易になります。OpenID Connectは同一デバイスでの認証を、CIBAはdecoupled flowを実現します。これらの標準は広くサポートされているため、採用した組織はゼロからやり直すことなく、さまざまなベンダーと連携したり、ベンダーを乗り換えたりできます。金融機関など高いセキュリティ要件を持つ組織は、セキュリティを重視したFAPI-CIBA適合性プロファイルに対してOpenID Certifiedを取得しているベンダーを選ぶことが望ましい場合もあります。認定では、綿密なテストスイートを用いて標準への準拠を検証します。
個人データが漏えいしたのは今回の侵害が初めてではなく、これが最後になることもないでしょう。
OpenID FoundationのAB/Connectワーキンググループの共同議長であるFrederik Krogsdal Jacobsen氏は、次のように述べています。「知識ベース認証が安全でないことは、以前からわかっていました。今回の侵害は、いまだにそれに頼っているすべての組織に対し、自らと顧客を深刻なリスクにさらしていることを思い起こさせるものです。幸いなことに、より優れた解決策が存在し、OpenIDの標準に基づく技術を選択すれば、幅広いベンダーと容易に連携できます。」
OpenID FoundationのMODRNAワーキンググループ(CIBA仕様を策定)の共同議長であるBjorn Hjelm氏は、次のように述べています。「CIBAは、まさにこうしたケースに対応するために策定されました。CIBAを活用することで、組織はセキュリティ態勢を強化し、顧客をよりよく保護できます。」
デンマークのユーザーの認証に個人データを用いている組織は、早急に代替手段を見つける必要があります。それ以外のすべての組織にとっても、知識ベース認証はいつ起きてもおかしくないセキュリティインシデントです。今こそ、強力な認証へ移行すべき時です。