令和6年度秋期 情報処理安全確保支援士 午前Ⅱ 問7

午前II 問07：Passkey/FIDO認証で生体情報はどこまで行く？

Passkey/FIDO認証では、指紋や顔などの生体情報はスマホやPCの中で「本人かどうか」を確認するためだけに使われるよ。たとえるなら、家の中の金庫を開けるために指紋を使うだけで、指紋そのものを外のお店や受付に送るわけではない、という感じ。IdPやWebサーバBへ送られるのは、生体情報そのものではなく、秘密鍵で作った署名や認証結果だよ。

この問題で問われていること

この問題では、「指紋や顔情報そのもの」と「認証できたことを示す署名・結果」は別物だと分かっているかがポイントだよ。生体情報は端末内にとどまり、外部サービスには送信されない、と押さえよう。

Passkey の生体情報

生体情報は端末から出ず、外部へ渡るのは認証結果や署名です。

端末内生体認証\n-> 秘密鍵利用許可\n外部へ生体情報は出ない

確認ポイント

• IdP は生体情報を受信しない。
• Web サーバも生体情報を受信しない。
• どちらも受信しない組合せを選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

正解だよ。FIDO認証では、生体情報はスマホ内の認証器でだけ使われて、ブラウザ、WebサーバB、IdPには送られないんだ。たとえるなら、スマホの中の警備員が本人確認をして、外には「本人でした」というハンコ付きの結果だけ渡す感じだよ。だから全部「受信しない」が正しいよ。

選択肢イ

不正解だよ。FIDO認証では、生体情報はスマホの中の認証器だけで確認されるんだ。銀行の窓口に「本人確認できました」という結果だけ渡して、指紋そのものは渡さないイメージだよ。WebサーバBやIdPが生体情報を受信する、という点が間違いだよ。

選択肢ウ

不正解だよ。WebサーバBとIdPが受信しないのは合っているけど、Webブラウザが生体情報を受信する、という部分が違うよ。ブラウザは受付係みたいに認証の流れをつなぐだけで、指紋や顔の情報そのものを預かるわけではないんだ。

選択肢エ

不正解だよ。ブラウザ、WebサーバB、IdPの全部が生体情報を受け取る、というのは危なすぎる考え方だよ。合鍵の原本を町中の窓口に配るようなものだね。実際のFIDOでは、生体情報はスマホ内に閉じ込めて、外には認証結果や署名だけを出すよ。