WebAuthn | MDS

Metadata Service (MDS)は、FIDO認証プログラムを通じて認定された認証器に関するMetadata Statementsを集約して公開する、FIDO Allianceが提供する集中型サービスです。これらのステートメントには、認証器に関する詳細なセキュリティ、コンプライアンス、運用情報が含まれます。

• サービスエンドポイントはしばしばMDS3（Metadata Serviceプロトコルの第3バージョン）と呼ばれます。

• 信頼者（WebAuthn を実装する Web サイトやアプリケーションなど）は、認証器に関する情報に基づいた信頼の決定を行うために、MDS からメタデータステートメントを取得します。

 

MDS は WebAuthn を使用するリライングパーティに対して重要な信頼とセキュリティ検証のレイヤーを追加します。

 

• オーセンティケーターの検証: FIDOスタンダードへのオーセンティケーターの準拠を検証し、WebAuthn証明書に提示されたAAGUIDの検証を支援します。
• 侵害とリボケーション検出： 侵害または失効した認証器に関する最新情報を提供し、依拠当事者が安全でないデバイスをブロックできるようにします。
• セキュリティ保証: 特定の FIDO 認証レベルやユーザー検証強度を満たす認証器のみを許可するなど、セキュリティポリシーの適用に役立ちます。
• 相互運用性: 異なるオーセンティケーターを使用する異なるブラウザ、プラットフォーム、デバイス間で一貫した動作とセキュリティの期待値を確保します。

 

設定

プロパティ WebAuthnOptions.MDS を使用して MDS の使用を設定できます。主要なプロパティを以下に示します。

 

• Enabled: True（デフォルト値）の場合、WebAuthn リクエストは設定された MDS ファイルに対して検証されます。
• MDS_FileName: MDSファイルが保存されているパス。次のURLからダウンロードできます: https://mds3.fidoalliance.org/
• RootCert_FileName: Root Certificateが保存されているパス。証明書チェーンを検証するために定義する必要があります。https://valid.r3.roots.globalsign.com/からダウンロードできます
• Leaf_CertificateCRL: true の場合 (デフォルトは false)、blob のリーフ証明書が CRL (証明書失効リスト) に対して検証されます。
• CRL_FileName: CRL ファイルが保存されているパス。定義されておらず Leaf_CertificateCRL が有効になっている場合は、CRL を自動的にダウンロードしようとします。