WebアプリケーションやWebサービスへのシングル・サインオン技術の仕様を策定している団体であるリバティ・アライアンス・プロジェクト(以下,リバティ)が,7月に最初の仕様である「フェーズ1」を公開することが明らかになった。当初規定する予定だった内容のうち,エンドユーザーのプライバシ保護を実現する仕組みなどの策定は「フェーズ2」以降に先送りされる結果となった。

 もともとリバティは,既存の標準技術を組み合わせ,次の3つを実現可能にする仕様を決める計画だった。(1)あらゆるデバイスから利用できるユーザー認証の仕様,(2)システム間で認証/認可情報をやり取りしてシングル・サインオン可能にする仕様,(3)エンドユーザーに許可された個人情報だけをWebシステムに提供する仕様--である。しかし7月に公開する仕様では,(1)と(2)の一部のみを規定する。(3)などの策定は先送りされる結果となった。「エンドユーザーのプライバシを保ってシステム間で情報をやりとりすることは簡単ではない。各国ごとのプライバシ関連の法制度にのっとった仕組みを作り上げるには,さらに6カ月から1年の時間が必要になる」(リバティでトラスト・アーキテクチャ・テクノロジ・グループのチーフ・アーキテクトを担当する米RSAセキュリティのスラバ・カフサン氏)。

 フェーズ1の仕様には,基本となる技術の組み合わせと,運用規定が含まれている。リバティでは,ユーザーのアカウント情報などをユーザー認証サービスである「IDプロバイダ」に集約する。エンドユーザーは,IDプロバイダで認証を受けるだけで,そのIDプロバイダと契約しているWebサイトやWebサービスにシングル・サインオンが可能となる。

 IDプロバイダとWebサイトやWebサービスとの間で認証情報や信用情報をやりとりするためには,「SAML(セキュリティ・アサーション・マークアップ言語)」という標準技術を使用する。SAMLは,XML(拡張可能マークアップ言語)技術の普及/啓もう団体であるOASIS(構造化情報標準促進機構)によって2002年10月ごろ標準化を完了すると見られているシングル・サインオンのための標準仕様である。

 ユーザーが本人であることを証明する仕組みとしては,パスワード,X.509ベースのディジタル証明書,ハードウエア・トークン,バイオメトロニクスをサポートする。ユーザーが個人情報などを登録する方法としては,オンラインで登録する方法のほか,対面式などの物理的な方法も認める予定だ。

 リバティ・アライアンス・プロジェクトは,米サン・マイクロシステムズの呼びかけで結成された団体。米マイクロソフトがすでに提供しているユーザー認証サービス「.NET Passport」に対抗する目的で結成された。アメリカンエクスプレス,米AOLタイム・ワーナー,NTTドコモ,ソニー,ベリサイン,ビザ・インターナショナルなどが参加するほか,5月29日にはNTT持株会社や米i2テクノロジズ,独SAPなどが新たに加盟した。(H.J.)