View this document as: a single page | multiple pages.

Note to Reviewers

過去数年間のオンラインサービスの急速な普及により,信頼性が高く,公平で,安全で,プライバシーが保護されたデジタルアイデンティティソリューションの必要性が高まっている.

The rapid proliferation of online services over the past few years has heightened the need for reliable, equitable, secure, and privacy-protective digital identity solutions.

NIST SP 800-63 のリビジョン4,デジタルアイデンティティガイドラインは,最後の主要なリビジョンが 2017 年に発行されて以来,出現した変化するデジタルランドスケープに対応することを意図している — オンラインリスクの現実世界への影響を含む.このガイドラインは,身元確認(identity proofing),認証(authentication),フェデレーション(federation)のデジタルアイデンティティ管理保証レベルを満たすためのプロセスと技術的な要件を示している.これには,セキュリティとプライバシーの要件,およびデジタルアイデンティティソリューションとテクノロジの公平性と使いやすさを促進するための考慮事項が含まれる.

Revision 4 of NIST Special Publication 800-63, Digital Identity Guidelines, intends to respond to the changing digital landscape that has emerged since the last major revision of this suite was published in 2017 — including the real-world implications of online risks. The guidelines present the process and technical requirements for meeting digital identity management assurance levels for identity proofing, authentication, and federation, including requirements for security and privacy as well as considerations for fostering equity and the usability of digital identity solutions and technology.

2020年6月のドラフト前のコメント募集にて提供されたフィードバックを考慮して,およびガイドラインの実際の実装,市場の革新,現在の脅威環境について実施された調査に加えて,このドラフトは次のことを目指している.

Taking into account feedback provided in response to our June 2020 Pre-Draft Call for Comments, as well as research conducted into real-world implementations of the guidelines, market innovation, and the current threat environment, this draft seeks to:

  1. 更なる公平性: このドラフトは,以前の改訂のリスク管理の内容を拡張することを目指しており,組織への影響に加えて,個人やコミュニティへの影響を説明することを機関に明確に義務付けている.また,リスク管理プロセス内およびデジタルアイデンティティシステムの実装時に,ミッションの提供に対するリスクを高める.これには,資格のあるすべての人にサービスを提供するという課題が含まれる.さらに,ガイダンスは現在,人口統計全体にわたる,潜在的な影響の継続的な評価を義務付けており,生体認証のパフォーマンス要件,および顔認識を利用するものなどの生体認証ベースの技術の責任ある使用のための追加のパラメーターを提供している.
  1. Advance Equity: This draft seeks to expand upon the risk management content of previous revisions and specifically mandates that agencies account for impacts to individuals and communities in addition to impacts to the organization. It also elevates risks to mission delivery – including challenges to providing services to all people who are eligible for and entitled to them – within the risk management process and when implementing digital identity systems. Additionally, the guidance now mandates continuous evaluation of potential impacts across demographics, provides biometric performance requirements, and additional parameters for the responsible use of biometric-based technologies, such as those that utilize face recognition.
  1. 消費者の選択性と選択肢の強調: 顔認識技術を利用するものや利用しないものを含む,追加のスケーラブルで公平で便利な身元確認オプションを促進および調査するために,このドラフトは,さまざまな手段,動機,および背景を持つ個人にサービスを安全に提供するための新しいメカニズムを提供するための身元確認の代替手段として許容可能なリストを拡大する.この改訂では,多様な消費者のニーズに対応し,アカウントを安全に復元するために,デジタルアイデンティティサービスが複数の認証オプションをサポートする必要性も強調している.
  1. Emphasize Optionality and Choice for Consumers: In the interest of promoting and investigating additional scalable, equitable, and convenient identify verification options, including those that do and do not leverage face recognition technologies, this draft expands the list of acceptable identity proofing alternatives to provide new mechanisms to securely deliver services to individuals with differing means, motivations, and backgrounds. The revision also emphasizes the need for digital identity services to support multiple authenticator options to address diverse consumer needs and secure account recovery.
  1. 詐欺と高度な脅威の抑止: このドラフトは,新しい攻撃に対応するためにリスクと脅威のモデルを更新し,フィッシング耐性のある認証のための新しいオプションを提供し,登録プロセスに対する自動化された攻撃を防止するための要件を導入することにより,第3版の詐欺防止対策を強化する.また,モバイル運転免許証(mDL)や verifiable credentials などの新しいテクノロジーへの扉も開く.
  1. Deter Fraud and Advanced Threats: This draft enhances fraud prevention measures from the third revision by updating risk and threat models to account for new attacks, providing new options for phishing resistant authentication, and introducing requirements to prevent automated attacks against enrollment processes. It also opens the door to new technology such as mobile driver’s licenses and verifiable credentials.
  1. 実装で学んだ教訓への対処: このドラフトでは,実装の経験から,ガイドラインを効果的に運用するために追加の明確さや詳細が必要であることが示された領域に対処している.これには,フェデレーションの保証レベルの見直し,Trusted Referee に関する詳細の提供,属性の検証ソースに関するガイドラインの明確化,アドレス確認要件の改善が含まれる.
    1. Address Implementation Lessons Learned: This draft addresses areas where implementation experience has indicated that additional clarity or detail was required to effectively operationalize the guidelines. This includes re-working the federation assurance levels, providing greater detail on Trusted Referees, clarifying guidelines on identity attribute validation sources, and improving address confirmation requirements.

NIST は,次のトピックに関するコメントと推奨事項に特に関心があります.

NIST is specifically interested in comments on and recommendations for the following topics:

フェデレーションとアサーション (Federation and Assertions)

  • What additional privacy considerations (e.g., revocation of consent, limitations of use) may be required to account for the use of identity and provisioning APIs that had not previously been discussed in the guidelines?
  • Is the updated text and introduction of “bound authenticators” sufficiently clear to allow for practical implementations of federation assurance level (FAL) 3 transactions? What complications or challenges are anticipated based on the updated guidance? 全体 (General)
  • Is there an element of this guidance that you think is missing or could be expanded?
  • Is any language in the guidance confusing or hard to understand? Should we add definitions or additional context to any language?
  • Does the guidance sufficiently address privacy?
  • Does the guidance sufficiently address equity?
    • What equity assessment methods, impact evaluation models, or metrics could we reference to better support organizations in preventing or detecting disparate impacts that could arise as a result of identity verification technologies or processes?
  • What specific implementation guidance, reference architectures, metrics, or other supporting resources may enable more rapid adoption and implementation of this and future iterations of the Digital Identity Guidelines?
  • What applied research and measurement efforts would provide the greatest impact on the identity market and advancement of these guidelines?

レビュアーは,NIST SP 800-63-4 の 4 つのドラフトボリュームすべてのテキストにコメントし,変更を提案することをお勧めする.コメントの締め切りは 2023年3月24日の午後11時59分(東部時間)である.コメント送信先は dig-comments@nist.gov.NIST はすべてのコメントを確認し,NIST Identity and Access Management websiteで確認できるようにする.コメントは、 NIST Computer Security Resource Center website で提供されているコメントテンプレートを使用することをお勧めする.

Reviewers are encouraged to comment and suggest changes to the text of all four draft volumes of of the NIST SP 800-63-4 suite. NIST requests that all comments be submitted by 11:59pm Eastern Time on March 24, 2023. Please submit your comments to dig-comments@nist.gov. NIST will review all comments and make them available at the NIST Identity and Access Management website. Commenters are encouraged to use the comment template provided on the NIST Computer Security Resource Center website.