| 電子情報通信学会 研究会発表申込システム 講演論文 詳細 |
技報閲覧サービス [ログイン] 技報アーカイブ |
| トップに戻る | 前のページに戻る | [Japanese] / [English] |
| 講演抄録／キーワード | ||
| 講演名 | 2024-01-25 14:15 ［奨励講演］OpenID Connectにおけるセッショントークンの悪用に対するアクセス制御手法の提案 ○湯浅潤樹・笹田大翔・妙中雄三・門林雄基（奈良先端大）  NS2023-162 |
|
| 抄録 | （和） | 近年, webサービスにおけるユーザのアカウント管理の負担を削減するためにシングルサインオン(SSO)の導入が進んでいる. 主要なSSOプロトコルであるOpenID Connectを用いたwebサービスでは, IDプロバイダから発行される認証結果であるIDトークンを用いてユーザを認証し, セッションを識別するためのセッショントークンを認証後のリクエスト認可に用いることが多い. しかし, 攻撃者が正規ユーザのIDトークン, セッショントークンを取得し, そのトークンを利用してセッションを乗っ取ることが可能であり, ユーザの真正性が侵害される. 本研究では, セッショントークンを用いたなりすましの問題に対処するための対策手法を提案する. 提案対策手法は, セッショントークンを用いたリクエストをwebサービスのサーバ側で監視・検証することで, 認証後であっても真正性検証の結果に応じて適切にアクセス制御する. 具体的には, 認証完了時に本人であることを証明する一時的な秘密鍵を生成し, 以降の認証後リクエストではユーザ側はその秘密鍵で署名したメッセージを送信することで, サーバ側では正しいユーザによるリクエストであることを確認する. そして, ユーザ端末が侵害された際に秘密鍵を用いて有効な署名を作成される問題に対処するため, 認証後の機密性の高い操作においては, パスワードレス認証技術であるFIDOを用いて指紋などのジェスチャを要求することで正しいユーザであることを確認する. |
| （英） | In recent years, the adoption of Single Sign-On (SSO) has been increasing in web services to reduce the burden of user account management. In web services that use OpenID Connect, a primary SSO protocol, users are authenticated using ID tokens issued by Identity Providers (IdPs), and session tokens are often used for authorizing requests post-authentication to identify sessions. However, attackers obtaining session tokens can conduct impersonation attacks, compromising the authenticity of users. This study proposes an access control mechanism to address the issue of impersonation using session tokens. The proposed mechanism monitors and verifies requests using session tokens on the server side of web services, ensuring appropriate access control based on the results of authenticity verification even after authentication. Specifically, upon completion of authentication, a temporary private key is generated to prove the user's identity. For post-authentication requests, the user sends messages signed with this private key, enabling the server to confirm that the requests are coming from the correct user. To address the issue of attackers creating valid signatures using stolen private keys when user devices are compromised, the mechanism employs password-less authentication technology, such as FIDO, for high-confidentiality operations post-authentication. This involves requesting gestures like fingerprint authentication to verify the identity of the correct user. | |
| キーワード | （和） | アクセス制御 / ユーザ真正性 / シングルサインオン / OpenID Connect / FIDO / セッションハイジャック / / |
| （英） | Access Control / User Authenticity / Single Sign-On / OpenID Connect / FIDO / Session Hijacking / / | |
| 文献情報 | 信学技報, vol. 123, no. 367, NS2023-162, pp. 19-24, 2024年1月. | |
| 資料番号 | NS2023-162 | |
| 発行日 | 2024-01-18 (NS) | |
| ISSN | Online edition: ISSN 2432-6380 | |
| 著作権に ついて |
技術研究報告に掲載された論文の著作権は電子情報通信学会に帰属します．(許諾番号：10GA0019/12GB0052/13GB0056/17GB0034/18GB0034) | |
| PDFダウンロード | NS2023-162 |
|
| 研究会情報 | |
| 研究会 | NS NWS |
| 開催期間 | 2024-01-25 - 2024-01-26 |
| 開催地（和） | 広島大 東千田キャンパス + オンライン開催 |
| 開催地（英） | Higashisenda Campus, HiroshimaUniversity + Online |
| テーマ（和） | NWソフトウエア(ソフトウエアアーキテクチャ，ミドルウエア)，NWアプリケーション，SOA/SDP，NGN/IMS/API，分散制御・ダイナミックルーチング，グリッド，NFV，IoT，NW及びシステム信頼性，NW及びシステム評価，一般 |
| テーマ（英） | Network software (Software architecture, Middleware), Network application, SOA/SDP, NGN/IMS/API, Distributed control/Dynamic routing, Grid, NFV, IoT, Network/System reliability, Network/System evaluation, etc. |
| 講演論文情報の詳細 | |
| 申込み研究会 | NS |
| 会議コード | 2024-01-NS-NWS |
| 本文の言語 | 日本語 |
| タイトル（和） | OpenID Connectにおけるセッショントークンの悪用に対するアクセス制御手法の提案 |
| サブタイトル（和） | |
| タイトル（英） | Access Control Method to Prevent Session Token Abuse on OpenID Connect |
| サブタイトル（英） | |
| キーワード(1)（和/英） | アクセス制御 / Access Control |
| キーワード(2)（和/英） | ユーザ真正性 / User Authenticity |
| キーワード(3)（和/英） | シングルサインオン / Single Sign-On |
| キーワード(4)（和/英） | OpenID Connect / OpenID Connect |
| キーワード(5)（和/英） | FIDO / FIDO |
| キーワード(6)（和/英） | セッションハイジャック / Session Hijacking |
| キーワード(7)（和/英） | / |
| キーワード(8)（和/英） | / |
| 第1著者 氏名（和/英/ヨミ） | 湯浅 潤樹 / Junki Yuasa / ユアサ ジュンキ |
| 第1著者 所属（和/英） | 奈良先端科学技術大学院大学 (略称： 奈良先端大) Nara Institute of Science and Technology (略称： NAIST) |
| 第2著者 氏名（和/英/ヨミ） | 笹田 大翔 / Taisho Sasada / ササダ タイショウ |
| 第2著者 所属（和/英） | 奈良先端科学技術大学院大学 (略称： 奈良先端大) Nara Institute of Science and Technology (略称： NAIST) |
| 第3著者 氏名（和/英/ヨミ） | 妙中 雄三 / Yuzo Taenaka / タエナカ ユウゾウ |
| 第3著者 所属（和/英） | 奈良先端科学技術大学院大学 (略称： 奈良先端大) Nara Institute of Science and Technology (略称： NAIST) |
| 第4著者 氏名（和/英/ヨミ） | 門林 雄基 / Youki Kadobayashi / カドバヤシ ユウキ |
| 第4著者 所属（和/英） | 奈良先端科学技術大学院大学 (略称： 奈良先端大) Nara Institute of Science and Technology (略称： NAIST) |
| 講演者 | 第1著者 |
| 発表日時 | 2024-01-25 14:15:00 |
| 発表時間 | 25分 |
| 申込先研究会 | NS |
| 資料番号 | NS2023-162 |
| 巻番号（vol） | vol.123 |
| 号番号（no） | no.367 |
| ページ範囲 | pp.19-24 |
| ページ数 | 6 |
| 発行日 | 2024-01-18 (NS) |
[研究会発表申込システムのトップページに戻る]