800-63-4についてコメントを募集しました。我々は、コメントする機会を歓迎した。「政府と公共政策」の項目でお読みください。800-63-3は、NISTのデジタルIDガイドラインを大幅に改善し、IDプルーフィング、認証、フェデレーションに対してより現代的なアプローチを採用していることを最初にお伝えします。言っても、テクノロジーと脅威はどちらも決して静的なものではなく、NISTが文書の別の改訂に着手していることは心強いことです。つの推奨事項を示します。アプローチを調整する必要があります。現在、AAL2では、ルックアップシークレット、アウトオブバンドデバイス(プッシュ)、OTPアプリやトークンなど、共有シークレットに基づくさまざまなオーセンティケーターが、FIDOなどの非対称公開鍵暗号に基づくオーセンティケーターと同じ重み付けされています。攻撃者が前者に追いついたことを考えると、これら2種類のオーセンティケーターを1つの名称で組み合わせることはもはや意味をなしません。つのカテゴリのオーセンティケーターが強度または回復性において同等であると考えるようになります。このコメントでは、フィッシングに強いツールとそうでないツールをより差別化するためにAALを調整する方法について、NISTにいくつかのアイデアを提供しています。140検証済みFIDOオーセンティケーターがAAL3を満たすためのパスが作成されました(これらのオーセンティケーターがトークンバインディングと連携してデプロイされ、Verifierのなりすまし耐性を実現した場合)。それ以来、ほとんどの主要なブラウザベンダーはトークンバインディングのサポートを廃止しています。NISTとの話し合いによると、これは、FIDO認証器がトークンバインディングの損失を軽減するための他のアプローチを実装しない限り、AAL3を満たすことができなくなったことを意味することを理解しています。800-63の次期改訂に着手するにあたり、NISTはFIDOアライアンスと連携し、FIDO認証器がAAL3の要件を満たすための他の代替案を模索することを強く求めます。800-63Bは、認証器タイプ別の要件を説明していますが、そのタイプをサポートする標準を指す方法に一貫性がありません。800-63Bを参照し、OTPやPKIなどの標準への言及はあるものの、FIDOへの具体的な言及は見られないという、市場で混乱が生じています。コメントでは、実装者がFIDOが適合し、要件をサポートする場所をより明確に理解できるように、ガイダンスがFIDOを直接参照する方法について3つの提案を提供します。私たちは、NISTが私たちのコメントを検討してくれたことに大いに感謝し、デジタルIDガイダンスの更新を模索するNISTの継続的な対話と協力を楽しみにしています。FID...もっと読む→→→。20242024年7月16日、FIDO...もっと読む→→→。2024デジタルトランスフォーメーショ...もっと読む→→→。