2024年11月、AWSは**AWS Security Token Service（STS）がOpenID Connect（OIDC）で使用されるJSON Webトークン（JWT）の署名に楕円曲線デジタル署名アルゴリズム（ECDSA）**をサポートすることを発表しました。このアップデートにより、ユーザーはRSA署名に加えて、ECDSA署名を利用してトークンのセキュリティを強化し、効率的な認証を実現できます。
AWS STSとOIDCとは？
**AWS Security Token Service（STS）**は、一時的なセキュリティ認証情報を発行するAWSのサービスで、リソースアクセスを制御するために利用されます。一方、**OpenID Connect（OIDC）**は、シングルサインオン（SSO）やユーザー認証を実現するアイデンティティプロトコルであり、JSON Webトークン（JWT）を使用してユーザー情報を安全に伝達します。
ECDSA署名の特徴と利点
**ECDSA（楕円曲線デジタル署名アルゴリズム）**は、短いキー長で高いセキュリティを提供するデジタル署名技術です。今回のアップデートにより、AWS STSはRSAに加えてECDSA署名をサポートするようになりました。
ECDSAの主な利点
- セキュリティの向上
RSAと同等のセキュリティを、より短いキー長で実現します。たとえば、ECDSAの256ビットキーは、RSAの3072ビットキーと同等のセキュリティを提供します。 - パフォーマンスの最適化
署名および検証が高速で、リソース消費が少ないため、モバイルアプリケーションやIoTデバイスなどのリソース制約がある環境で特に有効です。 - トークンの軽量化
短いキー長によりトークンサイズが小さくなり、データ転送の効率が向上します。
ECDSA署名の利用方法
OIDC認証フローで、AWS STSがECDSA署名のJWTを生成するプロセスは以下の通りです：
- OIDCプロバイダーの設定
ユーザーを認証するOIDCプロバイダーが、ECDSAキーを使用して署名されたJWTを発行します。 - JWTの使用
認証されたユーザーがAssumeRoleWithWebIdentityAPIを呼び出し、JWTを提供します。 - STSのレスポンス
AWS STSが短期的なセキュリティ認証情報を生成し、リソースアクセスを許可します。
想定される利用用途
1. モバイルアプリケーション
モバイルデバイスの限られたリソースを最大限活用し、迅速かつ安全な認証を実現します。
2. IoTデバイス
IoTデバイス間の通信で軽量なECDSA署名を活用し、高速な認証を実施。
3. 高トラフィックのウェブサービス
高いスループットが求められるウェブサービスで、認証処理の効率化とスケーラビリティ向上を支援します。
メリット
- セキュリティの向上
ECDSA署名により、JWTの整合性と真正性が保証されます。 - 効率的なリソース利用
リソース消費が少ないため、パフォーマンスの最適化が可能。 - 選択肢の拡大
RSA署名に加え、ECDSA署名の利用が選択可能に。 - トークンサイズの削減
ECDSAの短いキー長により、トークンサイズが小さくなり、データ転送効率が向上。
デメリット
- 導入の手間
OIDCプロバイダーのJSON Webキーセット（JWKS）を更新する必要があり、既存のシステムに適用する手間が発生。 - 互換性の確認
ECDSA署名に対応していないクライアントやサービスがある場合、追加の対応が必要。 - 鍵管理の複雑さ
RSAとECDSAの両方を運用する場合、鍵管理が複雑になる可能性。
まとめ
AWS STSのECDSA署名サポートは、セキュリティとパフォーマンスを向上させ、特にモバイルやIoT環境での利用に適しています。RSA署名からECDSA署名への移行は、セキュリティの強化と効率性の向上を目的とする企業にとって重要な一歩となります。ただし、導入時の手間や互換性の確認には注意が必要です。
詳細は、公式発表ページをご覧ください。
