テクノ雑学

第96回　ひとつのIDでさまざまなサービスを　-OpenID-

オークションやネットショップ、ネットバンキング、SNS、Webメール、ブログ、動画投稿サイトなど、Web上で提供されるサービスの種類は日々増え続けています。あなたもきっと、複数のサービスを日常的に利用しているのではないでしょうか？
　バンキングなどお金がからむサービスや、Webメールなどプライバシーに関わるようなサービスでは、当然、利用に際してIDとパスワードでユーザ本人であることを証明するプロセスが必要になります。また、最近は動画投稿／共有サイトなどを中心に、閲覧するためだけでもユーザー登録が必要なサービスも増えています。
　しかし、日常的に利用するサイトの数が増えてくると、IDとパスワードを覚えておくことが難しくなってきます。10個程度ならともかく、20個以上ものIDとパスワードを覚えておけるという人はあまりいないでしょう。
　利用するサイトすべてのIDとパスワードを同じものにしておけば、「覚えておく」ことに対する問題は解決しますが、セキュリティ確保の上でおすすめできませんし、サイト側がIDを発行するタイプのサービスではその手が使えません。IDを任意に選べるサイトでも、いつものIDがすでに他のユーザに使われている、といったこともあります。

ネットワーク認証のはじまり

ネットワーク認証のはじまり

そこで注目されたのが、もともとUNIXなどのネットワーク環境で使われていた「シングルサインオン」技術です。
　その昔のコンピュータネットワークでは、端末を使って作業を始めようと思ったら、端末の起動、ネットワークへの接続、サーバへのアクセス、アプリケーションの起動…と、何かアクションを起こすたびにIDとパスワードの入力が必要でした。
　それでは面倒でしかたがないので、端末の起動時などに一度IDとパスワードを入力したら、それ以降はユーザー認証が不要となるシングルサインオンサービスが考案されます。
　この考え方は、やがてインターネット上のサービスにも援用されることになります。

　シングルサインオンとは少々異なりますが、ネット上の個人証明をまとめて行なう「認証サ−ビス」は、比較的早い段階で実用化されました。たとえば、ネット上で個人証明のために使う電子署名（公開鍵証明書）の発行・証明を行なう「認証局」サービスなどです。
　また、利用に際して年齢証明などが必要なサイト向けに、一括して認証を行うサービスも早い時期に立ち上がりました。なかなかのアイディアだと思わされたのが、それらのサービスが認証のためにクレジットカードを利用していた点です。クレジットカードは通常、未成年者には発行されませんから、カードを持っていること自体が、所有者が成人である証明になります。
　サービス運営側としても、個人認証のためのシステム構築の手間はかけたくありませんし、データ漏洩などの危険性を考えると、個人情報はなるべく手元に置いておきたくないものです。認証サ−ビスは、このような事情を背景として定着し、進化していくことになります。

■ 分散型認証の登場

　もう少し時代が下って、Yahoo!などのWeb検索サービスがWebメールやショッピングなど幅広いサービスを統合し、「ポータルサイト」と呼ばれるようになると、今度はそのIDとパスワードを他のWebサービスでも利用できないか？　という発想が出て来ます。マイクロソフトが推進していた「.NET Passport」がその代表で、同社のポータルサイトMSNにログインすることで、他のサービスプロバイダのサイト上でも、シームレスにサービスが受けられるようにしたものです。
　しかし、広く共通して使える個人認証のシステムが一極に集中してしまうことには、問題点もあります。万一、サイトがダウンしてしまったら、世界中のユーザがサービスを受けられなくなってしまいますし、特定の私企業に個人情報が集中管理されること自体にも危惧や反発の声が上がります。かといってなんらかの公的機関が管理すればいいかといえば、プライバシー保護の面などで問題があることに変わりはありません。
　そこで登場したのが、認証を共通化するためのオープンな仕組みだけを作り、運営はそれぞれのサービスプロバイダが独自に行なう、「分散型認証」サービスという発想です。

■ OpenID

　OpenIDが使っている分散型認証の技術は、CGMサイト（Consumer Generated Media：一般ユーザが直接情報を掲載するサイト）構築用ソフトウエア「Movable Type」で有名なシックス・アパート社で2005年に開発されました。2007年には、関連する知的財産の管理や仕様の策定を行う非営利団体「OpenIDファウンデーション」が設立され、これをきっかけとしてGoogleやベリサイン、Yahoo! など大手のWebサービスプロバイダがOpenIDを採用しはじめます。現在では1万以上のサイトがOpenIDに対応し、2億5000万件以上のIDが提供されていると言われています。

　OpenIDでは、ID（証明書）にURLを用います。たとえば、「○」というOpenID発行サービスで発行してもらうIDは、以下のようなものになります（ただし、URLの構成はサービスプロバイダによって異なります）。

http://me.○.net/a/AbcDEfgHI123456--

　「AbcDEfgHI123456--」の部分は、あなたの○でのユーザIDとは無関係な文字列で構成されます。文字列の生成規則はサービスごとに異なりますから、ユーザIDから類推することは困難です。
　また、このURL自体を使って、自分で公開してもかまわないと判断した範囲での個人情報を記述したページを作ることもできます。このページはOpenID取得ユーザには公開されますので、ネット上で個人の同一性を証明することができるわけです。

　さて、あなたはいつものように頻繁に利用している○のサービスへ、いつものIDとパスワードを使ってログインしました。ニュースやメールなどをチェックしてから、ネットサーフィンをしているうちに、便利そうなサイト「△」を発見し、サービスの内容を確かめてみようと思った、とします。
　この時、△がOpenIDサービスに対応していたら、OpenIDアイコンがあるログイン画面で、ユーザ名に○から発行されたOpenIDのURLを入力します。すると△のOpenID対応サーバは、○の認証サーバへ「これは、そちらで管理している証明書ですか？」と問い合わせます。

　○の認証サーバは、発行したOpenID証明書を確認し、ブラウザの画面を○のものに切り替えて、あなたに○のログインパスワードの入力を求めてきます。パスワードが認証できたら、○のサーバは「△のサービスが、あなたが○に登録している情報の提供をリクエストしていますが、公開していいですか？」といった内容の問いかけをしてきます。ここでいう「公開」とは、あなたが○.netでOpenIDの証明書を取得していることと、そのURLを△へ通達するということです。公開を許可すると、○のサーバは△のサーバへ証明手続きを行います。証明を受け取った△サーバは、あなたをOpenID証明書発行済みユーザと認め、サービスの利用を認可します。

注：念のために記しておくと、認証のためにユーザへ求める手続きは認証プロバイダ（ここであげている例では○.net）の自由に任されていて、ワンタイムパスワードやICカードを使うところもあります。

■ OpenIDの活用

　最新仕様のOpenID 2.0では、長いURLを覚えなくてすむように、簡略化したURLでも認証できるようになりました。この場合は、対応サイトでOpenIDアイコンのある入力欄に「○.net」と入力したり、アンカーをクリックして○のログインページに移動し、○のIDとパスワードを入力すると、△のサイトへ移動してサービスが利用可能になります。

　サービスプロバイダがOpenIDに対応する最大のメリットは、他のOpenID対応サービスのユーザをスムーズに導けることです。
　実際、筆者などはちょっと面白そうなサービスがあっても、提供元の信頼性を判断しかねたり、そもそも登録に必要な情報を入力するのが面倒で、利用を断念してしまうことが珍しくありませんでした。しかしOpenIDを取得しておけば、個人情報やパスワードは証明書を発行してもらったサイト以外に提示しなくてすみますから、安心して新しいサービスを利用できます。
　サービス提供側は、証明書発行を行わず、認証機能だけを利用することもできますから、この場合、先にもあげたように、個人情報を自前で管理しなくてすむという大きなメリットがあります。

　ユーザ側のメリットは、前述のようにひとつのIDで複数のサービスを利用できることに加え、自分が信頼できると判断したサ−ビスプロバイダを認証手続き用サービスに選べることです。また、掲示板やブログへのコメント投稿などの際、OpenIDの入力を必須としておけば、愉快犯的な「荒らし」を低減できる効果も多少は期待できるかもしれません。

著者プロフィール：松田勇治（マツダユウジ）
1964年東京都出身。青山学院大学法学部卒業。在学中よりフリーランスライター／エディターとして活動。
卒業後、雑誌編集部勤務を経て独立。
現在はMotorFan illustrated誌、日経トレンディネットなどに執筆。
著書／共著書／編集協力書
「手にとるようにWindows用語がわかる本」「手にとるようにパソコン用語がわかる本 2004年版」（かんき出版）
「記録型DVD完全マスター2003」「買う！録る！楽しむ！HDD＆DVDレコーダー」「PC自作の鉄則！2005」（日経BP社）
「図解雑学・量子コンピュータ」（ナツメ社）など