利用者認証(知識・所持による認証)
頻出約 44 分8 用語過去問 18 題
この単元の目標
- 識別(誰かを示す)と認証(本人かを確かめる)とアクセス権(何を使えるか)の役割を分けられる
- 認証要素(本人確認の根拠になる情報の種類)の知識・所持・生体を見分け、多要素認証になる組合せとならない組合せを判断できる
- ワンタイムパスワードやリスクベース認証が、どんな不正をどう防ぐのかを説明できる
用語総表（8 語）
用語
リスクベース認証は、ログインのときの端末や場所などを普段と比べ、危険度が高いと判断したときだけ追加の認証を求める方式である。
毎回すべての利用者に重い確認を課すと手間が増えるため、怪しい状況に絞って確認を強める。追加の確認には、例えば登録したスマートフォンに届く確認番号や、事前に登録した質問への回答が使われる。正規の利用者の手間を抑えつつ、他人が本人のふりをして利用するなりすましを、盗んだパスワードだけでは成功させにくくする点に意味がある。
たとえいつもの社員は社員証だけで通すが、夜中に見慣れない入口から入ろうとする人には警備員が身分を詳しく尋ねる、という警備のやり方に似ている。
覚え方英語の risk-based は「危険度に基づく」という意味である。
出題のポイント
- 混同注意自動ログアウトやアカウントロックは、操作のない時間や失敗回数で一律に働く仕組みで、状況の危険度で確認を足すリスクベース認証とは別物である。
この用語の過去問 1 題 リスクベース認証 →
ログインは、利用者IDとパスワードなどを入力して本人と確認され、システムやサービスの利用を始める操作である。
入力された内容を事前に登録した情報と照合し、本人かどうかを確かめることを認証という。その照合の結果や、誰に何を使わせるかを定めたアクセス権に従って、利用を許すか拒むかを決める働きをアクセス制御という。利用を終える操作はログアウトで、席を離れる前に行えば他人に続きを操作されにくい。
たとえ会員制のジムの受付で会員番号と暗証番号を伝え、名簿と一致したら中に入れてもらう手続きに似ている。
出題のポイント
- 出題ログイン時の照合で利用を許可・拒否するのはアクセス制御の働きであり、利用者ごとのアクセス権をあらかじめ与える作業とは別である。
この用語の過去問 1 題 ログイン →
利用者IDは、システムの中で利用者を一人ずつ識別するために割り当てる名前や番号である。
IDは一人に一つずつ割り当て、複数の人で共有しない。そうしておけば、操作の記録に残ったIDから、誰がいつ何をしたかを後から追える。
たとえ学校の出席番号のようなもの。番号で一人ずつ区別でき、出欠の記録も番号で残る。
覚え方ID は identification(識別)の略。
出題のポイント
- 混同注意利用者IDは誰かを示す識別の情報で、本人かどうかの確認はパスワードなどが受け持つ。IDだけでは本人の証明にならない。
この用語の過去問 1 題 利用者ID →
パスワードは、本人だけが知っている秘密の文字列で、利用者IDと組にして知識による認証に使う情報である。
本人確認の根拠になる情報の種類を認証要素といい、知識・所持・生体の3種類がある。パスワードはこのうち知識にあたり、知っていれば誰でも本人とみなされる弱点をもつ。主な脅威には、通信の途中で盗み取る盗聴と、考えられる文字列を片端から試す総当たり攻撃がある。
たとえ秘密基地の合言葉のようなもの。言えれば仲間と扱われるので、誰かに漏らした時点で役に立たなくなる。
覚え方pass(通る)+ word(言葉)= 通るための言葉。
出題のポイント
- 出題盗聴への対策は通信路の暗号化、総当たり攻撃への対策はログインの失敗回数に上限を設けることで、対策の向きが異なる。
- 出題複雑で十分に長いパスワードは不正なログインを防ぐ対策として有効だが、マルウェア(不正なプログラム)の感染を防ぐ対策にはならない。
- 出題パスワードは管理者を含む他人に知らせず、業務用と私用でも使い回さない。
この用語の過去問 3 題 パスワード →
アクセス管理は、誰がどの情報や機能をどこまで使えるかというアクセス権を決め、その範囲の中だけで使わせるように管理することである。
アクセス権は、ある利用者があるデータや機能に対して、読む・書き換える・実行するなどのどの操作まで許されるかを表す。アクセス管理は、この権限を決めて与える作業と、その権限に従って利用を許可・拒否するアクセス制御をまとめて指す。利用者の登録・異動・削除に合わせて権限を見直し、不要になった権限を残さない。
たとえホテルのカードキーのようなもの。宿泊客だと確認されても、開けられるのは自分の部屋とジムだけで、従業員用の部屋には入れない。
覚え方access は「近づく・入る」。どこまで入ってよいかの線引きを管理すると覚える。
出題のポイント
- 出題利用者ごとに見られるデータを変えるには、利用者とデータの組ごとにアクセス権を与える。
- 混同注意認証は本人かどうかを確かめることで、アクセス管理は確かめた後に何をどこまで使わせるかを決め、それを守らせることである。
この用語の過去問 1 題 アクセス管理 →
ICカードは、情報を記録・処理できるICチップを内蔵したカードで、本人がそれを持っていることを根拠にする所持による認証に使う。
チップの中で暗号の処理ができるため、磁気だけで記録するカードに比べて中身を読み取られたり複製されたりしにくい。社員証や入館証として使われることが多く、なくしたり盗まれたりしたときはすぐに使えないよう止める必要がある。
たとえ家の鍵のようなもの。鍵を持っている人が住人とみなされるので、落としたら鍵を替える必要がある。
覚え方IC は Integrated Circuit(集積回路)の略。カードの中に小さな計算機が入っている。
出題のポイント
- 出題ICカードによる入退室管理は、建物や部屋への人の出入りを制限する物理的セキュリティ対策にあたる。
この用語の過去問 2 題 ICカード →
ワンタイムパスワードは、1回の認証にだけ使える使い捨てのパスワードで、認証のたびに新しい値に変わる。
値は、例えばトークンと呼ぶ専用の小型装置やスマートフォンのアプリが作るか、SMSで届けられる。事前に配られた乱数表のうち毎回異なる位置を指定され、その数字を入れる方式や、覚えておいた位置と順序に毎回違う数字が並ぶ表を使うマトリクス認証も、入力する値が認証ごとに変わる点で同じ考え方に立つ。
たとえ銀行の窓口で受け取る呼出番号の紙のようなもの。一度呼ばれて使えば終わりで、次に来たときは別の番号になる。
覚え方one-time は「1回限り」という意味。何度でも使える普通のパスワードとは逆である。
出題のポイント
- 出題ワンタイムパスワードで防げるのは漏えいした値を後から使う不正侵入であり、通信の途中での盗聴そのものは防げない。
- 出題乱数表やマトリクス認証も、盗聴された値でのなりすましを防ぐのに有効である。
- 混同注意1回のログインで許可された複数のシステムを使えるようにする仕組みはシングルサインオンで、ワンタイムパスワードとは別物である。
この用語の過去問 3 題 ワンタイムパスワード →
多要素認証は、種類の異なる認証要素を2つ以上組み合わせて本人を確かめる方式である。
所持の要素は所有物とも呼ばれ、生体の要素は指紋や静脈のような体の特徴のほか筆跡のような動作の特徴も含み、バイオメトリクスとも呼ばれる。種類の異なる要素を2つ使い、その両方の確認に通って初めて利用を認めるものを二要素認証と呼ぶ。片方の要素が破られても、もう一方が残るので守りが固くなる。
たとえ貸金庫を開けるのに、窓口で暗証番号を言い、さらに自分の鍵を差し込む必要があるようなもの。番号を知られても鍵がなければ開かない。
覚え方MFA は Multi-Factor Authentication の略。factor は「要素」を意味する。
出題のポイント
- 出題認証要素は知識・所持・生体の3種類に分ける。指紋などの生体情報も個人に関する情報だが、分類の名前は「生体」である。
- 出題同じ種類の要素を重ねても多要素にはならない。知識による認証に、所持や生体の要素を加えたときに二要素になる。
- 混同注意確認を2回に分けて行う二段階認証でも、2回とも知識を使えば二要素認証にはならない。段階の数と要素の種類の数は別に数える。
この用語の過去問 3 題 多要素認証 →
要点
- ログインして本人と確認された後も、使える範囲はアクセス権で絞られ、何でも使えるわけではない。
- パスワードは知識の認証要素なので、他人に知られた時点でその人も本人として通ってしまう。
- 多要素認証は、知識・所持・生体のうち種類の異なる要素を組み合わせて初めて成り立つ。
- ワンタイムパスワードは使い捨てなので、盗まれた値を後から入力されても通らない。
- リスクベース認証は、普段と違う状況のときだけ確認を足すので、いつもどおりの利用では手間が増えない。
この分野の過去問をすべて見る →