デジタル認証アプリとのID連携で使われている標準化仕様と勘所

ritou です。 みんなが待っていたデジタル認証アプリの情報が公開されました。 開発者向けのガイドライン、APIリファレンスなどのドキュメントも公開されています。 今回は開発者視点でどんな作りになっていて、利用するために理解が必要となる標準化仕様はどのあたりなのかを取り上げます。ちょっとOIDCのRPやOAuthのClient実装経験のある開発者向け、ぐらいの内容です。 概要 公開された情報からすると デジタル認証アプリサービス(アプリ+バックエンド)はマイナンバーカードを用いた当人認証を実施 現在は都度マイナンバーカードを利用する必要がありますが、いずれはスマホに保存されたカード情報を使ってもっと楽になりそう ID連携のIdentityプロバイダとして認証イベント情報、基本4情報といった属性情報を民間/行政サービスに提供 民間/行政サービスは認証イベント情報に含まれるユーザー識別子を利

[circled]

本人確認のために暗証番号、もしくはパスキー利用時は生体認証がいるって話なのに、救急の際に本人確認に医療機関が利用可能というデジタル庁の説明がバックドアを匂わせてて嫌なのよな(裏で本当に何してんの？)

[deep_one]

ユーザー側がマイナンバーカード対応のスマホを用意しないとダメな感じ？／コメントを見て。緊急時にはIDをとれるだけだろう。顔を見て本人を確認しているだけだろうから、アレルギー情報の利用とかはちょっと怖い。

[enemyoffreedom]

「"お前らが言う本人確認 is 何？" については、身元確認 と 当人認証 の両方が可能です。そして、それら両方を実現するためのID連携として、OpenID Connect(以下、OIDC)が採用されています」

[ryunosinfx]

用法用量を守って使う分にはいいと思う。けど仕様が公開されてるし猫も杓子もこれでよくね？でサービス構築されるとそれはちょっと…というね。お宅のサービス本当に国に照会してまで複垢禁止する必要ある？というね

[cocelo]

SAMLaiでないの、本当にめでたい。パスキーとの組み合わせはなるほどなとなった。あるいはSRP的なやつを組み合わせる、という視点が大事なのかもしれない。

[ton-boo]

秋田の猫さんの解説。いま関わってるやつでひょっとすると身元確認/当人認証の両面で使う可能性があるためブクマ

[ritou]

良くも悪くも今の所はOIDCの基本を抑えつつ拡張仕様を組み合わせたら実装できそうな範囲なので、実装するんだろうなぁという方は心の準備をしておきましょう。