認証とMFAを理解する
認証は、あるアカウントを使おうとしている相手が正当な利用者かを確かめる処理です。パスワードだけに頼らず異なる種類の要素を組み合わせると、一つが漏れただけで侵入される危険を減らせます。
この単元で学ぶこと
- 知識・所持・生体の三要素を分類する
- 多段階と多要素の違いを説明する
- 認証と認可を区別する
- MFAの登録・復旧・フィッシングへの注意を判断する
本文解説
識別・認証・認可 IDでどのアカウントかを指定し、秘密や認証器で正当な利用者かを検証します。その後、その利用者に何を許すかを認可で決めます。社員としてログインできても給与ファイルを見られるとは限りません。本人確認と操作権限は分けて考えます。
知識要素 パスワードや記憶した暗証番号のように、本人が知っている情報です。秘密の質問も覚えた情報を使うため知識要素です。同じパスワードの使い回しでは、一か所の漏えいが他のサービスへ波及するのでサービスごとに秘密を分けて管理します。
所持要素と生体要素 所持は登録されたトークンや認証器を制御していること、生体は指紋や顔などの特徴を使います。端末の認証器を生体で解除するように組み合わせる構成もあります。単に端末を使っているという事実だけで、所持要素を安全に検証できているとは限りません。
MFAは異なる要素 パスワードと専用トークンのコードは知識と所持を組み合わせます。パスワードと秘密の質問は入力が二段階でもどちらも知識です。MFAは複数の異なる要素を用いること、多段階は操作の段階が複数であることを指し、同じ意味にはなりません。
OTPとその限界 ワンタイムパスワードは限られた時間や利用機会で有効な値です。固定パスワードの反復利用と区別できますが、攻撃者へ伝えれば失効前に使われる危険があります。パスワードとOTPの手入力を中継するフィッシングもあり、MFAという名称だけで全方式を同じ強さと扱えません。
生体認証の注意 生体情報の照合には誤受入れや本人拒否が起こり得ます。顔や指紋は常に秘密とは限らず、漏えい時に簡単には交換できません。照合精度だけでなく、情報の保護、認証器との結び付き、利用できない場合の代替手順を考慮します。
登録・紛失・復旧 認証器を追加する手続きと、失った場合の回復手続きを保護します。社員番号を知っているだけの相手へMFAを解除すると、通常ログインを強化しても迂回されます。旧認証器の失効、本人確認、新規登録、履歴を一つの管理手順として定めます。
認証後も保護する 心当たりのない承認要求は許可せず確認します。退職や異動で権限を見直し、必要な操作へ限定します。MFAの成功がすべてのデータ公開や端末状態を保証するわけではありません。認証ログ、セッション管理、端末保護などと組み合わせて安全性を保ちます。
図解
重要ポイント
- 知識・所持・生体を区別する。
- 入力回数だけでは多要素か判断できない。
- 認証成功と操作の許可は別。
- 登録・復旧も認証の保護範囲に含める。
- MFAでも方式ごとにフィッシング耐性が異なる。
間違えやすい点
- IDを独立した秘密の認証要素と数えない。
- 身に覚えのない承認要求に応じない。
- 旧認証器や不要な権限を放置しない。
用語解説
- 認証
- 主張するアカウントの正当な利用者であることを、結び付いた認証情報や認証器で確かめること。
- 認可
- 利用者などに対し、どの資源へのどの操作を許可するかを判断すること。
- 多要素認証
- 知識・所持・生体のうち異なる複数の要素を組み合わせる認証。入力回数だけでは判断できない。
- ワンタイムパスワード
- 限られた時間や利用機会に有効な認証用の値。手入力した値を即時中継される危険は別途考慮する。
- 認証器
- アカウントの正当な利用者であることの検証に使う、本人が制御する機器や秘密など。
関連教材
参考資料
教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。
確認問題の出題・採点や学習履歴の保存にはログインが必要です。