NIST SP800-63-A
- Purpose(Informative)
- Introduction(Informative)
- Definitions and Abbreviations(Informative)
- Identity Assuarance Level Requirements（Normative）
- Identity Resolution, Validation, and Verification（Normative）
- Derived Credentials（Normative）
- Threats and Security Considerations(Informative)
- Privacy Considerations(Informative)
- Usability Considerations(Informative)
- References(Informative)
前回は4を見ましたので、今回は5を見ていきます。
（少し文字だらけなりそうなので本記事では5.2まで）
このセクションではアイデンティティと提示されたエビデンスを解決、確認、検証するための要件が示される。
これらの要件はCSPに登録しようとしている本人のものであると保証し、登録済みの人々に影響を与える大規模攻撃には保護する情報の価値を上回る時間とコストが必要になるように意図している。
🐈後半は情報入手コストが、目的の情報の価値を上回っていればわざわざ攻撃するうま味が少ないってことですかね
5.1 Identity Resolution
アイデンティティ解決の目的は特定の与えられた集団や文脈の中で個人を一意に識別すること
- 効果的な解決のために、必要最小限の属性セットを使用する
- 本人確認のための情報をマッチさせるために複雑アルゴリズムを採用してもよいが、一般公開もしくは関連コミュニティ内で公開すべき
- 一意識別のために、KBV(Knowledge-Based Verification)を使用してもよい
5.2 Identity Evidence Collection and Validation
アイデンティティの確認の目的は最適なエビデンスを収集し、その真正性、有効性、正確性を判断すること
5.2.1 Identity Evidence Quality Requirements
強度は下記のいずれかに分類される
- Unacceptable：受け入れ可能なエビデンスなし
- Weak：
- 発行元でIdentity proofingが行われていない
- エビデンスの発行プロセスにおいて、申請者がそのエビデンスを受け取ったと合理的に推測できる
- エビデンスが以下のいずれかを含む
- 少なくとも1つの参照番号で、それ自体もしくは関連する人を一意に識別する
- 発行されたエビデンスがそれに関連する人の写真もしくはバイオメトリックテンプレートを含んでいる
🐈バイオメトリックテンプレートって何ぞやと思いましたが、バイオメトリクス用の特長点の集まりらしいです
- Fair：
- エビデンスの発行元がidentity proofingを通じてアイデンティティを確認している
- エビデンスの発行プロセスにおいて、申請者がそのエビデンスを受け取ったと合理的に推測できる
- エビデンスが以下のいずれかを含む
- 少なくとも1つの参照番号で、それ自体もしくは関連する人を一意に識別する
- 発行されたエビデンスがそれに関連する人の写真もしくはバイオメトリックテンプレートを含んでいる
- KBVを通じて所有権を確認できる
- エビデンスにデジタル情報が含まれる場合は暗号方式もしは独自方式で保護され、完全性を確保して、発行元の真正性を確認できる
- エビデンスに物理的なセキュリティ機能が含まれる場合は、それを再現するための独自知識が必要
- エビデンスの有効期限がきれていない
🐈「エビデンスに物理的なセキュリティ機能が含まれる場合は、それを再現するための独自知識が必要」はおそらく、専門知識が必要なので簡単には偽装できないということだと思います
- Strong
- エビデンスの発行元は書面による手続き（実在する個人のアイデンティティを知っているという合理的な確信を形成できるように設計された手続き）を通じてアイデンティティを確認する
- エビデンスの発行手続きは関連する主体に交付されることを保証
- 発行されたエビデンスが少なくとも1つの参照番号で、それ自体もしくは関連する人を一意に識別できるものを含んでいる
- 発行されたエビデンスに記載されるフルネームは発行当時公的に知らされたものである必要がある（仮名、別名、名前の頭文字は許可されない）
- 発行されたエビデンスがそれに関連する人の写真もしくはバイオメトリックテンプレートを含んでいるもしくは申請者が少なくともIAL2のアイデンティティに紐づいたAAL2の認証器もしくはそれと同等のものを所持していることを証明する
- エビデンスにデジタル情報が含まれる場合は暗号方式もしは独自方式で保護され、完全性を確保して、発行元の真正性を確認できる
- エビデンスに物理的なセキュリティ機能が含まれる場合は、それを再現するための独自知識が必要
- エビデンスの有効期限がきれていない
- Superior
- エビデンスの発行元は後述の書面による手続き（実在する個人のアイデンティティを知っているということを強く確信できるように設計された手続き）を通じてアイデンティティを確認する
- このような手続きは規制機関/公的機関が定期的に監督する対象となる
- 発行元は視覚的に申請者を確認し、その人の実在性を確認するため追加の検査を実施
- エビデンスの発行プロセスはそれを関連する人物が受け取ると保証
- 発行されたエビデンスが少なくとも1つの参照番号で、それ自体もしくは関連する人を一意に識別できるものを含んでいる
- 発行されたエビデンスに記載されるフルネームは発行当時公的に知らされたものである必要がある（仮名、別名、名前の頭文字は許可されない）
- エビデンスにはそれに関連する人物の写真とバイオメトリックテンプレートが含まれている
- エビデンスにデジタル情報が含まれる場合は暗号方式もしは独自方式で保護され、完全性を確保して、発行元の真正性を確認できる
- エビデンスには再現するために独自知識や技術が必要ば物理的セキュリティ機能が含まれる
- エビデンスの有効期限がきれていない
- エビデンスの発行元は後述の書面による手続き（実在する個人のアイデンティティを知っているということを強く確信できるように設計された手続き）を通じてアイデンティティを確認する
🐈「enable it to have high confidence that the source knows the real-life identity of the subject.」なのでstrongよりも強く生身の人間との紐づけを重視するイメージですかね
🐈生体認証、写真に、物理的なセキュリティと諸々全部詰め込んだらSuperiorなのか……
5.2.2 Validating Identity Evidence
CSPが一度アイデンティティエビデンスを取得すると、エビデンスや関連情報の正確性、真正性、および完全性が権威機関で確認される。これにより、提示されたエビデンスが下記を示す
- 本物であり偽装されていないこと、実在する主体に関連する正しい情報を含んでいること
確認の強度は下記のいずれかに分類される
- Unacceptable：エビデンスの確認が行われないもしくは失敗
- Weak：エビデンスから得られたすべての個人情報は権威機関が公開もしくは所持している情報と照合することにより有効だと確認されている
- Fair：エビデンスは以下いずれかを満たす
- エビデンスの個人情報は権威機関もしくは発行元が公開もしくは所持している情報と照合することにより有効だと確認されている
- エビデンスが適切な技術を用いて、物理的なセキュリティ機能の完全性が確認され、不適切に改変されたり偽装されていない本物であることを確認されている
- 訓練を受けた職員により本物だと確認されている
- 発行されたエビデンスが暗号化セキュリティ機能の完全性を確認することにより本物だと確認されている
- Strong：
- エビデンスから得られたすべての個人情報は権威機関が公開もしくは所持している情報と照合することにより有効だと確認されている
- 上記に加えて、以下のいずれかでエビデンスが本物であると確認されている
- 適切な技術を用いて、物理的なセキュリティ機能の完全性が確認され、不適切に改変されたり偽装されていない本物であることを確認されている
- 訓練を受けた職員と適切な技術を使用し、物理的なセキュリティの完全性を確認し、エビデンスが不適切に改変されたり偽装されていないことを確認
- 暗号化セキュリティの完全性を確認
- Superior：
- 訓練を受けた職員と適切な技術を使用し（物理的なセキュリティと暗号化セキュリティ機能の完全性を確認を含む）本物であると確認されている
- エビデンスから得られたすべての個人情報は権威機関が公開もしくは所持している情報と照合することにより有効だと確認されている
職員のトレーニングの要件はCSPかRPのポリシー、ガイドライン、要件に基づく