認証と多要素認証を理解する

認証は、あるアカウントを使おうとしている相手が正当な利用者かを確かめる処理です。パスワードだけに頼らず異なる種類の要素を組み合わせると、一つが漏れただけで侵入される危険を減らせます。

この単元で学ぶこと

識別・認証・認可 IDでどのアカウントかを指定し、秘密や認証器で正当な利用者かを検証します。その後、その利用者に何を許すかを認可で決めます。社員としてログインできても給与ファイルを見られるとは限りません。本人確認と操作権限は分けて考えます。

知識要素パスワードや記憶した暗証番号のように、本人が知っている情報です。秘密の質問も覚えた情報を使うため知識要素です。同じパスワードの使い回しでは、一か所の漏えいが他のサービスへ波及するのでサービスごとに秘密を分けて管理します。

所持要素と生体要素所持は登録されたトークンや認証器を制御していること、生体は指紋や顔などの特徴を使います。端末の認証器を生体で解除するように組み合わせる構成もあります。単に端末を使っているという事実だけで、所持要素を安全に検証できているとは限りません。

MFAは異なる要素パスワードと専用トークンのコードは知識と所持を組み合わせます。パスワードと秘密の質問は入力が二段階でもどちらも知識です。MFAは複数の異なる要素を用いること、多段階は操作の段階が複数であることを指し、同じ意味にはなりません。

OTPとその限界ワンタイムパスワードは限られた時間や利用機会で有効な値です。固定パスワードの反復利用と区別できますが、攻撃者へ伝えれば失効前に使われる危険があります。パスワードとOTPの手入力を中継するフィッシングもあり、MFAという名称だけで全方式を同じ強さと扱えません。

生体認証の注意生体情報の照合には誤受入れや本人拒否が起こり得ます。顔や指紋は常に秘密とは限らず、漏えい時に簡単には交換できません。照合精度だけでなく、情報の保護、認証器との結び付き、利用できない場合の代替手順を考慮します。

登録・紛失・復旧認証器を追加する手続きと、失った場合の回復手続きを保護します。社員番号を知っているだけの相手へMFAを解除すると、通常ログインを強化しても迂回されます。旧認証器の失効、本人確認、新規登録、履歴を一つの管理手順として定めます。

認証後も保護する心当たりのない承認要求は許可せず確認します。退職や異動で権限を見直し、必要な操作へ限定します。MFAの成功がすべてのデータ公開や端末状態を保証するわけではありません。認証ログ、セッション管理、端末保護などと組み合わせて安全性を保ちます。

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。