日経IDにおけるパスキー

FIDO アライアンス ウェビナー パスキー 最新導入事例 紹介セミナーで日本経済新聞社の淵脇さんが発表したスライドです。

https://fidoalliance.org/event/webinar-latest-passkeys-use-case-introduction-consumer-workforce-langja/?lang=ja

Transcript

1. FIDO アライアンス ウェビナー パスキー 最新導入事例 ご紹介セミナー ～Consumer & Work Force 日経IDにおけるパスキー 2025/03/26 日本経済新聞社　淵脇 誠
2. Agenda 2 1. 日経ID チームおよび登壇者の紹介 2. パスキー導入の経緯 3. パスキー開発における課題 4. パスキーへの期待と今後の展開
3. 3 日経ID チームおよび登壇者の紹介 01 1. 日経ID チームおよび登壇者の紹介 2. パスキー導入の経緯 3. パスキー開発における課題 4. パスキーへの期待と今後の展開
4. 日経ID チームおよび登壇者の紹介 4 淵脇 誠 (Makoto Fuchiwaki) 日経IDチーム 趣味：競プロ (AtCoder, Codeforces: Yellow), CTF Crypto, 音ゲー 日経ID チーム 日経IDの新基盤 Melissa の開発チーム 総勢10名のスクラムチームでパスキーなどの開発を推進中 🐝 Melissa (ギリシャ語でミツバチ）
5. 5 パスキー導入の経緯 02 1. 日経ID チームおよび登壇者の紹介 2. パスキー導入の経緯 3. パスキー開発における課題 4. パスキーへの期待と今後の展開
6. 公式の開発プロセス インフォーマル活動 パスキー導入までの全体像 パスキー 勉強会 A パスキー開発 B インフォーマル活動を軸にした内発的モチベーションでの開発 自主的な 調査 A パスキー以外の認証基盤開発 C OSS 開発 A 設計 B 2024/01 ~ 2024/05 2024/06 2024/10 ~ 2025/02 β版 開発 B 2024/10 2024/06 社内βテスト A 2024/06 ~ 2024/11 2025/02 パスキー以外の勉強 会 C 2024/11 ~ 2023/XX ~ A) インフォーマル活動 B) フォーマル活動 C) その他 6 社内Event: EngineRoom
7. パスキー勉強会の特徴 ✔ パスキーの標準仕様 / FIDO UIガイドラインを読む重厚な学習 ✔ 金曜日に任意参加で週1時間のゆるいスタイルで継続性を重視 ✔ 実現性やプロダクト価値ではなく技術的興味を重視 インフォーマル活動としての特徴を重視したスタイル 7
8. パスキー勉強会のアウトプット 8 パスキーの各種 「フラグ」の使い方 セキュリティやユーザー へどのように可視化する か 登録・ログイン 導線の検討 データモデリング FIDOデザインガイドライ ンを参照 データベースでどのよう な情報を持つべきか プロダクト設計へフィードバック 勉強会を発端にした高いモチベーションを元に仕様・べスプラを網羅 8
9. 9 パスキー開発における課題 03 1. 日経ID チームおよび登壇者の紹介 2. パスキー導入の経緯 3. パスキー開発における課題 4. パスキーへの期待と今後の展開
10. 技術的課題 謎のブラウザ固有のエラー パスキーライブラリが微妙 セキュリティの課題 ✔ 人海戦術で複数ブラウザテスト ✔ ライブラリを移行 ✔ 外部のセキュリティ診断を実施 技術的課題に銀の弾丸はないのでどれも愚直に解決 10 テストができない ✔ テスト用のOSS(※1) を公開 (※1) https://github.com/Nikkei/nid-webauthn-emulator
11. ユーザー視点での使いやすさ（ UX）上の課題 • パスワード認証との整合性はあるか？ • ユーザーがパスキー認証に失敗しやすいところは？ • その他、ユーザーがストレスに感じやすいところは？ 改善のためにもまずは計測 11 まだリリースしてから日が浅くこれらの改善はこれから
12. 日経のデータ分析基盤 Atlas による分析 12 日経ID基盤 ブラウザ Atlas 基盤 認証リクエスト UXイベント 以下のようなブラウザイベント をリアルタイムで検出 • 生体認証が失敗した • パスキー作成完了 • パスキー作成失敗 • パスキー認証完了 • パスキー認証失敗 単純にAPIレベルでパスキー認証が失敗したときには全て 「パスキー認証失敗」としてよいのか？ → メールアドレス欄からパスキー認証を行う（オートフィル）場合は失敗扱いにしない方がよいことも 適切なUXフィードバックになるデータ分析のノウハウを蓄積中
13. 13 パスキーへの期待と今後の展開 04 1. 日経ID チームおよび登壇者の紹介 2. パスキー導入の経緯 3. パスキー開発における課題 4. パスキーへの期待と今後の展開
14. パスキーに対する課題感と期待 14 ➢ ユーザーのパスキー管理が大変 ➢ ブラウザ固有のエラーが多数 エクスポートなどの標準化に期待 （ブラウザ側の不要なパスキー削除は実装しました！） 標準仕様におけるエラーケースの充実に期待 ➢ 生体認証に関する誤解を招きやすい 公開鍵暗号ベースのデバイス認証としての仕様を独立してはどうか 14
15. 今後の展開 ✔ 自動パスキーアップグレードをやってみたい ✔ A Well-Known URL for Passkey を作りたい ⇒ 作りました！ ✔ リスクが高いユーザーへおすすめする機能を付けたい パスキー関連は新しい業界標準・標準仕様が次々出てきている
16. We're hiring !! 16 https://hack.nikkei.com/jobs/ テクノロジーメディアを目指す日本経済新聞社ではデ ジタルサービスにおける技術力向上を重視しており、 最新の技術に興味のあるエンジニアを随時募集してお ります。 16
17. End