Authentication Solutions

認証(にんしょう) ソリューションの比較(ひかく) と実装(じっそう) フロー。

Session & Cookie

  sequenceDiagram
    participant C as Client
    participant S as Server

    C ->> S: User Login {username, password}
    S ->> S: Create and Store Session in Server Memory
    S ->> C: Set-Cookie: session-id=1234567
    C ->> S: GET /user/data Cookie: session-id=1234567
    S ->> S: Compare session-id with stored data
    S ->> C: Response with user data

OAuth 2.0

詳細(しょうさい) なプロトコル説明(せつめい) は OAuth 2.0 プロトコル を参照(さんしょう) 。

  sequenceDiagram
    participant RO as Resource Owner(User)
    participant Client
    participant RS as Resource Server
    participant AS as Authorization Server

    RO->>Client: Google でログインをクリック
    Client->>AS: Google 認可ページにリダイレクト
    RO->>AS: アプリにリソースへのアクセスを許可
    AS->>RO: 認可コード(grant code)を返却
    Client->>RS: 認可コードをバックエンドサーバーに送信
    RS->>AS: 認可コードで Access Token をリクエスト
    AS->>RS: Access Token と Refresh Token を返却
    RS->>RS: Access Token で Google リソースにアクセス
    RS->>Client: 処理結果を応答
    Client->>RO: 結果をユーザーに表示

JWT

Passkeys

Passkeys は FIDO2 標準(ひょうじゅん) に基(もと) づくパスワードレス認証(にんしょう) ソリューション。

Authenticator タイプ

Platform Authenticators（デバイス内蔵(ないぞう) ）：

• TouchID / FaceID
• Windows Hello
• スマートフォン内蔵(ないぞう) 認証(にんしょう)

Roaming Authenticators（外部(がいぶ) デバイス）：

• USB セキュリティキー
• NFC
• Bluetooth

Attestation（Passkey の作成）

  sequenceDiagram
    participant U as User
    participant A as Authenticator
    participant C as Client
    participant S as Server

    U --> C: Click Register
    C ->> S: Get challenge
    S ->> S: Create challenge [87cnN44C..]
    S -->> C: Return challenge
    C ->> A: credentials.create(challenge)
    A -->> U: Request verification
    U ->> U: Biometric / PIN
    U ->> A: Verified
    A ->> A: Create Keypair, Sign challenge
    A ->> A: Store private key
    A ->> C: [challenge✅, ID, public key]
    C ->> S: Send public key and signed challenge
    S ->> S: Verify signature, Store public key
    S -->> C: Passkey Created

Assertion（Passkey でログイン）

  sequenceDiagram
    participant U as User
    participant A as Authenticator
    participant C as Client
    participant S as Server

    U ->> C: Sign in with passkey
    C ->> S: Get challenge
    S ->> S: Create challenge
    S -->> C: [87cnN44C..]
    C --> A: credentials.get(challenge)
    A --> U: Request verification
    U ->> U: Biometric / PIN
    U ->> A: Verified
    A ->> A: Sign challenge
    A -->> C: [challenge✅, credential ID, Username]
    C ->> S: [challenge✅, credential ID, Username]
    S ->> S: Verify with public key

認証方式比較

Basic Authentication

Token-Based Authentication

Session Authentication

API Key Authentication

OAuth 2.0

OpenID Connect (OIDC)

Multi-Factor Authentication (MFA)

Biometric Authentication

Passkey

関連トピック

• OAuth 2.0 プロトコル
• API セキュリティ