セキュアなシステム間連携を支えるOSS認証認可技術

API公開におけるセキュリティとして最も基本的なものは，APIを利用したアプリケーションやそのアプリケーションを利用するユーザーを制限するための認証認可である。APIにおける認証認可の仕組みとしてはIETF（Internet Engineering Task Force）のRFC6749として定められた標準規格であるOAuth 2.0（以下，「OAuth」と記す。）が一般的である。

OAuth以前の外部アプリ連携とOAuthでのAPI連携の概要を図1に示す。OAuth以前は，外部アプリとサービス提供者が連携する場合，外部アプリにサービスのID・パスワードを渡し，サービスにログインさせることで連携することが一般的であった。一方でOAuthでは，ID・パスワードではなく，「アクセストークン」と呼ばれる認可情報を外部アプリに渡すことでセキュリティを確保する。流れとしては，最初に外部アプリは，「認可サーバ」にアクセストークンの発行を要求する。この際にユーザー認証が行われ，認証が成功すると認可サーバは外部アプリにアクセストークンを発行する。その後，外部アプリはアクセストークンを付加してAPIアクセスを行うという流れとなる。ここで，ID・パスワードのような認証情報は外部アプリに渡らず，より安全に連携できることから，外部アプリとの連携はOAuthによるAPI連携がデファクトスタンダードとなっている。

OAuthはAPIの認証認可におけるフレームワークであり，その枠組みに沿った実装の仕方の大部分は実装者に委ねられている。このため，OAuthの仕様に沿っていたとしても，適切に実装されていない場合にはセキュリティ事故を招く危険性がある。

APIを利用した一般的なサービスの構成例と考慮すべきセキュリティ課題を図2に示す。

【課題1】OAuthの不適切な実装

OAuthのフローにおいてパラメータの使い方を誤って実装すると，攻撃者にアクセストークンが渡ってしまうような脆（ぜい）弱性が作り込まれることが知られている。また，脆弱性の隙をなくすために日々新たな仕様が策定されており追従も必要となってくる。例えば近年では金融機関の業務など，より高いセキュリティが求められるシステムでの利用を想定したFAPI（Financial-grade API）という上位互換の仕様が策定されており注目されている。

【課題2】不適切なユーザー認証

OAuthにおいて「認証」をどのように行うかは任意となっており，極端なケースでは簡単に推測可能な文字列のみで認証を済ませていることもある。このような場合，攻撃者に容易にアクセストークンを取得され，不正にAPI呼び出しが可能となってしまう。

【課題3】不適切なトークンの取り扱い

OAuthでは，認可サーバが発行したアクセストークンをどのように取り扱うかは定められておらず，問題になることがある。例えば，アクセストークンの失効管理が行われていないと，API連携の解除が永久にできないことにつながる。また，APIサーバがアクセストークンを受け取った際，それが偽造されていたり，他者のアクセストークンだったりする可能性がある。アクセストークンの改ざん確認や誰に対して発行されたものかを確認する仕組みが別途必要になるが，これらのチェックを怠ると，攻撃者により本来権限のないAPIを呼び出されることにつながる。

実際にAPIを利用したサービスでは，上記のような考慮点が抜け落ちた実装によるセキュリティ事故が発生し続けており，セキュリティに対する目が厳しくなっているのが現状である。

日立はKeycloakを中心としたOSS認証認可技術をコアとして，セキュアなAPI連携を実現するAPI管理ソリューションを提供している。本ソリューションによるシステム構成を図5に示す。

1. OAuthと最新標準への対応
   認可サーバとしてKeycloakを採用し，OAuthに対応する。また最新標準のFAPIへの対応についても，日立が中心となってKeycloakコミュニティで開発を行っており，FAPIの基本的な機能要件を満たすことができる^1）。
2. 適切なユーザー認証の実現
   ユーザー認証の強度を高めるためには，ID・パスワードによる認証に加え，多要素認証が必要であり，Keycloak標準のワンタイムパスワード認証にて多要素認証を実現することができる。また，最新の多要素認証の標準仕様であるWebAuthnについても日立が中心となってコミュニティで開発を行い，対応した^2）。
   一方で，実案件においては，既存のシステムで管理される認証情報を利用して認証を行うニーズが高い。この場合，システム個別要件が入り込んでくるため標準機能だけでは実現できず，Keycloakの拡張を作り込む必要がある。日立では，典型的な拡張パターンをテンプレート化しており，テンプレートを適用することで迅速に既存の認証情報を利用することができる。
3. 適切なトークンの取り扱い
   2.2節の【課題3】で記したように，トークンの失効管理と，APIコール時のトークンの確認が必要になってくる。トークンの失効管理については，Keycloakの標準機能で対応できる。APIコール時のトークンの確認についてはAPIサーバ前に配備されたAPIゲートウェイにて実施する。APIゲートウェイとは，APIの流量制御やアクセス制御を行う要素であり，さまざまな種類のソフトウェア実装が存在する。このAPIゲートウェイにて，アクセストークンの改ざん検知や有効期限の確認を行うことにより，APIサーバに正しいアクセストークンが渡ることを保証できる。ここでのAPIゲートウェイにおけるアクセストークンチェック処理については，APIゲートウェイ側で拡張が必要になることが多い。日立では，この拡張処理についても，主要なAPIゲートウェイ向けにテンプレート化している。

日立ではセキュアなAPI連携を実現するために上記の構成を基本とし，上流コンサルティングから，構築，運用保守までトータルにカバーし，ソリューションとして提供している。これまで，金融分野のキャッシュレスサービスや鉄道交通分野のMaaS（Mobility as a Service）などさまざまなデジタルサービス案件に本ソリューションを適用し，APIセキュリティを確保したAPI管理基盤を構築した実績がある。