本ユニットでは、コンピュータやサービスを使う前に「本人かどうか」を確かめる利用者認証を学びます。ID/パスワードという知識による認証から、ICカードやワンタイムパスワードという所持による認証、それらを組み合わせる多要素認証までを扱います。情報セキュリティ対策の入口であり、多要素認証・パスワード・ワンタイムパスワードは試験でも特に頻出の重要分野です。
状況の危険度に応じて追加の認証を求めるかどうかを変える認証方式。
リスクベース認証は、ログインのたびに毎回同じ強さで認証するのではなく、その時の状況の危険度(リスク)を判断して認証の強さを変える方式です。いつもと同じ端末・場所からのアクセスなら通常のID/パスワードだけで通し、見慣れない端末や海外からのアクセスなど怪しい場合だけ追加の質問やワンタイムパスワードを求めます。 正規利用者の手間を増やさずに、なりすましだけを狙ってはじける点が特長です。試験では「ふだんと異なる環境からのアクセス時に追加認証を行う」のがリスクベース認証だと判断できることがポイントになります。
たとえ顔なじみの常連はそのまま通すが、初めて見る客には身分証の提示を求める店員のような仕組み。怪しいときだけ確認を厳しくします。
記憶フックリスクベース認証といえば怪しいときだけ追加認証
IDやパスワードを入力し利用権限を得てシステムの利用を始める操作。
ログインは、利用者IDとパスワードなどを入力して、システムやサービスに「自分は正規の利用者だ」と申告し、利用を開始する操作です。サインインともいい、利用を終える操作はログアウト(サインアウト)と呼びます。 ログインという行為は、本人確認(認証)を行う入口そのものです。試験では、利用者IDで「誰か」を示し、パスワードで「本人であること」を確かめる、という認証の基本的な流れの起点として問われます。利用後にログアウトを行うことが、なりすまし防止につながる点も押さえましょう。
たとえ建物の入口で受付に名前を告げ、入館証を受け取って中に入る手続きのようなもの。用が済んだら入館証を返すのがログアウトにあたります。
記憶フックログインといえばID/パスワードで利用を始める入口
利用者を一意に識別するために割り当てられる名前・番号などの符号。
利用者ID(ユーザID)は、システムの中で「あなたは誰か」を区別するために一人ひとりに割り当てられる名前や番号です。同じIDが複数の人に重複しないように管理され、これによって誰が操作したかを記録(ログ)できるようになります。 利用者IDは「識別」を担い、本人であることの「確認(認証)」はパスワードなどが担う、という役割分担が重要です。試験では、IDは公開されても大きな問題はないが、対になるパスワードは秘密にしなければならない、という性質の違いが問われます。
たとえ出席番号や社員番号のようなもの。それ自体は「誰か」を示すだけで、本人だと証明するのは別に必要な印鑑やサイン(パスワード)です。
記憶フック利用者IDといえば誰かを識別する符号
本人だけが知る秘密の文字列で、知識による本人確認に使う認証情報。
パスワードは、本人だけが知っている秘密の文字列で、利用者IDと対にして「確かに本人だ」と確認するために使います。本人の知識(記憶)にもとづくため、知識認証の代表例です。 他人に推測・盗用されると簡単になりすまされるため、長く複雑にする、使い回さない、定期的でなく漏えい時に変更する、といった運用が求められます。試験では、生年月日や辞書語など推測されやすいパスワードの危険性、複数サービスでの使い回しがもたらすリスク、ICカードなど所持認証との違い(知識か所持か)が頻出です。
たとえ本人しか知らない「合言葉」のようなもの。合言葉を知っていれば本人とみなされるため、人に教えたりメモを貼ったりすると意味がなくなります。
記憶フックパスワードといえば本人だけが知る秘密の知識
誰がどの情報や機能を使えるかを定め、不正な利用を防ぐ管理活動。
アクセス管理は、認証した利用者に対して「どの情報やシステムを、どこまで使ってよいか」という権限を定め、許された範囲だけを利用できるように管理する仕組みです。アクセス権の設定や、利用者IDの登録・変更・削除などの運用がこれに含まれます。 本人確認である認証(誰か)と、許可の範囲を決める認可・アクセス制御(何ができるか)を組み合わせて成り立ちます。試験では、退職者のIDを速やかに削除する、必要最小限の権限だけ与える(最小権限の原則)といった運用上の考え方が問われます。
たとえオフィスで、社員証ごとに入れる部屋を分ける仕組みのようなもの。本人だと分かっても、立ち入ってよい部屋は役割によって決められています。
記憶フックアクセス管理といえば誰が何を使えるかの権限管理
ICチップを埋め込み、本人の所持を根拠に認証に使うカード。
ICカードは、情報を記録・処理できるICチップを埋め込んだカードで、本人がそれを「持っていること」を根拠に認証に使います。磁気カードより記憶できる情報が多く、暗号処理で偽造・複製がされにくいのが特長です。 パスワードのような知識認証に対し、ICカードは所持認証の代表例です。試験では、知識か所持かの区分、暗証番号(知識)と組み合わせると本人確認が強くなる点、紛失・盗難時はカードの利用停止が必要になる点が問われます。
たとえ建物に入るための鍵そのもの。鍵を持っている人が本人とみなされるため、なくすと拾った人に使われる危険があり、すぐ無効化が必要です。
記憶フックICカードといえば所持による認証の代表
一度きり・短時間だけ有効な使い捨てのパスワード。
ワンタイムパスワード(OTP)は、その場かぎりで一度しか使えない、または短時間しか有効でないパスワードです。専用のトークンやスマートフォンのアプリ、SMSなどで、ログインのたびに新しい番号が発行されます。 固定のパスワードと違い、たとえ盗み見られても次回には使えないため、盗聴や使い回しに強いのが利点です。試験では、固定パスワードとの違い(毎回変わる/一度きり)や、時刻や回数から番号を生成する仕組み、別の認証要素と組み合わせて使われる点が問われます。
たとえ1回しか使えない使い捨ての入場整理券のようなもの。番号を盗み見られても、次に来たときには別の番号に変わっているので役に立ちません。
記憶フックワンタイムパスワードといえば一度きりの使い捨て
知識・所持・生体など種類の異なる要素を2つ以上組み合わせる認証。
多要素認証(MFA)は、性質の異なる複数の認証要素を組み合わせて本人確認を行う方式です。認証要素は、本人だけが知る「知識」(パスワードなど)、本人が持つ「所持」(ICカード・スマートフォンなど)、本人の身体的特徴である「生体」(指紋・顔など)の3種類に大別されます。 このうち2種類以上を使うものを多要素認証、特に2種類を使うものを二要素認証と呼びます。パスワードを2つ重ねるなど同じ種類だけを増やしても多要素にはならない点が要注意です。1つの要素が破られても他の要素で守れるため安全性が高く、試験では最頻出のテーマです。
たとえ玄関を「鍵(所持)」と「暗証番号(知識)」の両方で守るようなもの。片方を破られても、もう片方が残っているので簡単には突破されません。
記憶フック多要素認証といえば知識・所持・生体を組み合わせる
関連の過去問演習は今後のアップデートで追加予定です。