チャットシステムのMattermostをFIDO2の生体認証で運用する構成例です。生体認証としては、iPhone / iPad / アンドロイド端末からは、携帯に内蔵の指紋認証や顔認証を利用します。パソコンからは、使いやすい指紋認証を利用します。

機器としては、FIDO2の生体認証対応idPと認証連携できるリバースプロキシ機能を有する

「Powered BLUE ReverseProxy for SSO / IDaaS」

アプライアンスを利用します。

【FIDO2規格】

FIDO2は、Webサービスで生体認証を行いパスワードレス認証に対応の統一規格です。FIDO2は、CTAPとWebAuthnの2つの規格から構成されています。

CTAP（利用者側の認証機器とブラウザ間の規格）
WebAuthn（ブラウザとRPサーバー間の規格）

【生体情報の保護】

FIDO2では生体情報が保護されます

生体情報は、利用者側が保有する「認証器」内に保存＆保護されます
公開鍵暗号化方式（公開鍵・秘密鍵）を利用、生体情報は「認証器」外へ漏洩しません

【FIDO2生体認証のメリット】

FIDO2による生体認証の特徴は

パスワードを覚える必要がない ( パスワードレス認証 )
生体情報はユーザー側の「認証器」内に保護 ( 生体情報の漏洩防止 )
第3者がユーザー側の「認証器」を利用しても、認証されません（なりすまし防止）

【FIDO2対応のブラウザ】

現在の主要なブラウザはFIDO2に対応しており、ご利用のブラウザをそのまま利用できます。FIDO2に対応のブラウザは

Chrome
Edge
Firefox
Safari

【生体認証】

FIDO2対応の生体認証には

指紋認証
静脈認証
顔認証
虹彩認証

などがあります。

【指紋認証の特徴】

10本の指が登録でき、どの指でも認証ができる
認証精度が安定している
認証器が豊富
USBタイプはPCへの接続が簡単
汎用のPCで利用できる
Windows10の標準機能で指紋登録ができる

【生体認証器】

PCから利用の場合には生体認証としては、FIDO2対応の「指紋認証器」を利用します。USBタイプの指紋認証器は接続が簡単で便利です。

【指紋認証器の登録手順】

利用者はUSBタイプの「指紋認証器」をPCへ接続
利用者の指紋を「指紋認証器」へ登録

【Windowsでのセキュリティキー（指紋認証器）への指紋登録】

* Windows10ユーザーは、「Windowsの標準機能」を利用しての登録に対応しています

Windowsの「アカウント」設定項目のサインイン・オプションの「セキュリティキー」の登録機能から「指紋登録」が出来ます

１）アカウントを選択

２）サインインオプション&セキュリティキーを選択

３）セキュリティキー（指紋認証器）にタッチ

４）「セキュリティキーの指紋」のセットアップを選択

５）セキュリティキー（指紋認証器）にpinコードを設定

新規使用時や初期化時にpinコードを設定します
pinコードは、指紋などの登録や再登録時にも使用します（重要）

６）本人の確認（指紋認証器に設定したPINコードの入力）

７）「指紋認証器」へ指紋の登録

８）指紋センサー（指紋認証器）にタッチ

同じ指でのタッチを、複数回繰り返し指紋を登録します

９）他の指も登録できます（合計10本まで）

【Mattermostへのアクセス手順】

スマートフォン / タブレット＋顔認証 / 指紋認証のユーザー

（「スマートフォンの所持認証」+「生体認証」+「パスワード認証」　の3要素認証）

１）生体認証対応リバースプロキシへアクセス（IDのみ入力）

２）生体認証（顔認証や指紋認証）

３）認証後にMattermostへリダイレクト

PC ＋ FIDO2・指紋認証キーのユーザー

（「認証器の所持認証」+「生体認証」+「パスワード認証」　の3要素認証）