株式会社オージス総研お客様のシステムが環境の変化に対応し長期間持続していくための「百年アーキテクチャ」を私たちは目指しています。信也、以下オージス総研)は、オープンソースをコアとした統合認証ソリューション「ThemiStruct(テミストラクト)-WAM」にソーシャルログイン対応やリスクベース認証、端末の固有情報による認証(インベントリ認証)などを追加した新バージョンを7月14日より提供開始します。昨今、多くの企業で、取引先向けのシステム(B2B)、会員サイトやカスタマポータルといった自社顧客向けのシステム(B2C)、を対象とした認証基盤の導入が進められています。これまでバラバラに作られてきたシステムを対象に、利用時のログインIDの統一、シングルサインオン(SSO)の実現、アカウント登録の簡便化、などを図ることで取引先や顧客によるシステム利用を促し事業収益拡大につなげることが狙いとされています。一方で、システムへのアクセスは、あらゆる場所からインターネット経由で行なわれるため、これまで以上のセキュリティ強化が求められています。今回のバージョンアップではアカウント登録の簡便化に貢献する機能としてソーシャルログイン対応を、セキュリティ強化への貢献としてリスクベース認証とインベントリ認証を追加しました。Connect1.0準拠のIdPに対応)B2Cサイトにおける利用開始時のユーザ登録は入力項目が多く登録前にユーザがサイトから離脱する場合やIDとパスワードの管理が煩雑となるという課題がありました。「ソーシャルログイン対応」によりユーザ登録に必要な情報の一部あるいはすべてをソーシャルアカウントに登録したものを使って自動設定できるためサービスの会員登録率、ログイン率を高めることが可能です。【リスクベース認証】ユーザが普段利用していないデバイスからのアクセス時に追加認証を要求セキュリティ強化のため、アクセス毎に追加認証を求めることはユーザへの負担が大きくサービスの利便性が低下する懸念がありました。「リスクベース認証」ではユーザがシステムを使用する環境に関する情報である、時間帯、ネットワーク(IPアドレス)、デバイス、などの情報から通常のアクセスパターンに合致した利用か否かを判定します。正規ユーザでないと疑われる場合にのみ追加認証を要求するといったリスクに応じた認証方式の変更が可能となり、ユーザの負担を最小限にサービスの安全性を高める事ができます。電子証明書による不正デバイスからのアクセス防止策では、電子証明書の抜き取りによる不正利用が可能な場合がありました。「インベントリ認証」はユーザが使用している端末の固有情報を用いて認証を行います。電子証明書と端末の固有情報を紐付けることにより、電子証明書をダウンロードした端末にのみに利用を限定することができ、未許可端末からのアクセスを予防する事が可能です。使用デバイスによる"証明書認証の代替"や、デバイス内の構成が変更されたことを検出することで、認証方式を切り替える”高度なリスクベース認証の実現”など、より強固な不正アクセス対策が可能になります。「ThemiStruct-WAM」は、OpenAMをコアとした統合認証ソリューションです。有効性に関する検査、ツールを用いた脆弱性を含まないことの検査、OSSライセンスリスクが無いことの検査など独自の1,000項目以上の検査を実施しソフトウェア品質を向上させています。導入した認証基盤をより永く活用いただけるように、定期的なバージョンアップを行ない、セキュリティ問題への対応などを始めとした問題の修正や対応機能の強化を図っています。