はじめに
今回は、「認証」を取り上げる。認証は、情報システムの利用者が本人であることを確認するための基本的な仕組みであり、その方式や強度は科目A・科目Bの双方で頻繁に問われるテーマである。
認証とは
認証（authentication）とは、システムを利用しようとしている主体が、正当な権限を持つ本人であるかどうかを確認する処理を指す。認証は一般に、以下の3つの要素のいずれか、または複数の組み合わせによって行われる。
- 知識情報：本人だけが知っている情報（パスワード、暗証番号など）
- 所持情報：本人だけが持っている物（ICカード、スマートフォン、ワンタイムパスワードトークンなど）
- 生体情報：本人固有の身体的特徴（指紋、顔、虹彩、静脈など）
主な認証方式
パスワード認証
最も広く普及している認証方式であり、知識情報を用いる。導入が容易である一方、推測されやすいパスワードの使用や、他サービスとの使い回しによって、不正アクセスのリスクが高まりやすいという弱点がある。
多要素認証（MFA）
知識情報・所持情報・生体情報のうち、異なる2種類以上の要素を組み合わせて認証を行う方式である。例えば、「パスワード（知識情報）」に加えて「スマートフォンに届くワンタイムパスワード（所持情報）」を要求するような仕組みが該当する。
なお、「2種類の要素」を用いる場合を特に二要素認証と呼ぶこともあるが、同じ種類の情報を2つ使う（例：パスワードと秘密の質問）ことは、多要素認証には該当しない点に注意が必要である。あくまで異なる要素の組み合わせであることが条件となる。
生体認証（バイオメトリクス認証）
指紋、顔、虹彩、静脈といった身体的特徴を用いて本人確認を行う方式である。パスワードのように紛失・忘却することがない一方、認証精度には以下のような指標が用いられる。
- 本人拒否率（FRR）：本人であるにもかかわらず、誤って拒否してしまう確率
- 他人受入率（FAR）：他人であるにもかかわらず、誤って受け入れてしまう確率
一般に、本人拒否率と他人受入率はトレードオフの関係にあり、判定の閾値（しきい値）を厳しくすると他人受入率は下がるが本人拒否率は上がる、という関係になる。
ワンタイムパスワード（OTP）
一度限り、または一定時間のみ有効なパスワードを都度発行する方式である。仮に一度盗み見られても、次回以降の認証には使えないため、パスワードの使い回しや漏えいによるリスクを軽減できる。生成方式には、時刻に基づいて一定時間ごとにパスワードが変化する時刻同期方式などがある。
シングルサインオン（SSO）
一度の認証によって、連携している複数のシステムやサービスを利用できるようにする仕組みである。利用者はサービスごとに個別の認証を行う必要がなくなる一方、認証情報が漏えいした場合の影響範囲が広がるという側面もある。
認証に関連するその他の概念
CAPTCHA
人間とコンピュータ（自動プログラム）を区別するための仕組みであり、歪んだ文字列の入力や画像選択などを利用者に求める。ログイン試行を自動化した攻撃（総当たり攻撃など）への対策として用いられる。
リスクベース認証
普段と異なる環境（利用場所、利用端末、アクセス時間帯など）からのログインを検知した場合に、追加の本人確認を要求する認証方式である。利便性を保ちつつ、不正ログインのリスクを軽減する狙いがある。
科目Bで問われるポイント
- ある事例における認証方式が、知識情報・所持情報・生体情報のどれに該当するかを判別させる問題
- 「多要素認証に該当する組み合わせはどれか」を問う問題（同一種類の要素の組み合わせを誤って選ばせないよう作問されることが多い）
- 生体認証における本人拒否率・他人受入率のトレードオフ関係を問う計算・選択問題
- シングルサインオンやリスクベース認証など、利便性とセキュリティの両立に関する仕組みの理解を問う問題
認証方式を暗記する際は、単なる名称だけでなく「知識・所持・生体のどれに分類されるか」という軸で整理しておくと、応用問題にも対応しやすい。
まとめ
- 認証は、知識情報・所持情報・生体情報のいずれか、またはその組み合わせによって行われる。
- 多要素認証は「異なる種類の要素」を組み合わせる点が条件であり、同種の情報の組み合わせとは区別される。
- 生体認証には本人拒否率（FRR）と他人受入率（FAR）というトレードオフの関係にある指標が存在する。
- ワンタイムパスワードやシングルサインオン、リスクベース認証など、利便性と安全性を両立する仕組みが実用化されている。
コメント