ストーリー

OAuth 2.0 / OIDC のフロー選定

フロー比較

Authorization Code + PKCE フロー

Authorization Code + PKCE フロー（SPA向け推奨）:

[ユーザー] ──→ [SPA]
                │
                │ 1. code_verifier（ランダム文字列）を生成
                │    code_challenge = SHA256(code_verifier)
                │
                │ 2. 認可リクエスト（code_challenge付き）
                ↓
            [認可サーバー（IdP）]
                │
                │ 3. ユーザー認証 + 同意
                │
                │ 4. 認可コード発行（フロントチャネル）
                ↓
            [SPA]
                │
                │ 5. トークンリクエスト
                │    （認可コード + code_verifier）
                ↓
            [認可サーバー]
                │
                │ 6. code_verifier を検証
                │    SHA256(code_verifier) == code_challenge ?
                │
                │ 7. アクセストークン + リフレッシュトークン発行
                ↓
            [SPA] ──→ [API]（アクセストークンで認証）

JWT（JSON Web Token）の設計

JWT の構造と署名方式

JWTのセキュリティベストプラクティス

// JWT検証の安全な実装例（TypeScript）
import * as jose from "jose";

const JWKS = jose.createRemoteJWKSet(
  new URL("https://auth.example.com/.well-known/jwks.json")
);

async function verifyToken(token: string): Promise<jose.JWTPayload> {
  const { payload } = await jose.jwtVerify(token, JWKS, {
    issuer: "https://auth.example.com",
    audience: "https://api.payconnect.com",
    algorithms: ["ES256"], // 許可するアルゴリズムを固定
    maxTokenAge: "15m",    // 最大有効期間
  });

  return payload;
}

MFA（多要素認証）

MFA方式の比較

パスキー（FIDO2/WebAuthn）の仕組み

パスキー認証フロー:

登録（Registration）:
  [ユーザー] ──→ [ブラウザ] ──→ [認証サーバー]
  1. サーバーがチャレンジを送信
  2. ユーザーが生体認証（指紋/顔）でデバイス上の秘密鍵を使用
  3. チャレンジに署名して返送
  4. サーバーが公開鍵を保存

認証（Authentication）:
  [ユーザー] ──→ [ブラウザ] ──→ [認証サーバー]
  1. サーバーが新しいチャレンジを送信
  2. ユーザーが生体認証で秘密鍵を使用
  3. チャレンジに署名して返送
  4. サーバーが保存済み公開鍵で署名を検証

フィッシング耐性:
  - 秘密鍵はデバイスから出ない
  - オリジン（ドメイン）がバインドされている
  - 偽サイトではパスキーが動作しない

リスクベース認証

コンテキストに基づく認証強度の動的制御

まとめ

チェックリスト

• OAuth 2.0の各フローの適用場面を説明できる
• JWTのセキュリティベストプラクティスを実装できる
• MFA方式のセキュリティレベルを比較できる
• リスクベース認証の設計方針を理解した

次のステップへ

次は「認可モデルの設計」を学びます。RBAC、ABAC、ReBAC等の認可モデルを比較し、適切な認可アーキテクチャを設計しましょう。

推定読了時間: 30分