先進的な認証方式と決済認証

パスワードレス認証 は、パスワードを入力させずに、生体情報 や 手元の端末 を使って本人を確かめる認証方式である。

パスワードは推測されたり、盗み見られたり、別のサービスで使い回されたりしやすい。パスワードレス認証は、指紋や顔などの体の特徴や、登録したスマートフォン・セキュリティキーなど持っている物で確認するので、覚える負担がなくなり、パスワードにまつわるこれらの弱点もなくなる。例えば FIDO という規格では、指紋などの照合は利用者の端末の中で行われ、照合用の情報がネットワークに流れない。

たとえ番号を覚えて押すダイヤル錠をやめて、登録した社員証をかざすか、顔を見せるだけで開く扉に替えるようなもの。

覚え方「レス」は英語の less (〜がない)。ペーパーレスやキャッシュレスと同じ「レス」で、パスワードが無い認証と読める。

SMS認証 は、登録した携帯電話番号に SMS (短いメッセージ) で 1 回限りの 確認コード を送り、それを入力させて本人を確かめる方式である。

コードを受け取れるのは、その電話番号の端末を手元に持っている人だけなので、端末を持っていることが本人の証拠になる。知識の手がかりであるパスワードと組み合わせると、種類の異なる手がかりを重ねる 多要素認証 になる。

たとえ宅配ロッカーの暗証番号が、受取人のスマートフォンにだけ届く仕組みに似ている。番号を読めるのは、その端末を持っている人だけになる。

覚え方SMS は Short Message Service の略。電話番号だけを宛先にして届く短い文で、届いた先の端末を持っていることが証拠になる。

この用語の過去問 1 題 SMS認証 →

シングルサインオン (SSO) は、最初に 1 回認証を受ければ、利用を認められた 複数のサービス に入り直さずにアクセスできる仕組みである。

← 図は横にスクロールできます →

利用者は、サービスごとにIDとパスワードを入れる手間がなくなり、覚えるパスワードも減る。その反面、最初の認証が破られると連携先のすべてに入られてしまうので、入口の認証は多要素認証などで強くしておく。

たとえ遊園地の入口で 1 日パスを確かめてもらえば、中のアトラクションでは券を買い直さずに乗れるのと同じ。

覚え方サインオンはログインの別の言い方。Single (1 回) の Sign-On (ログイン) で済む、と英語のまま読める。

この用語の過去問 3 題 シングルサインオン →

EMV 3-Dセキュア は、ネット上のクレジットカード決済で、カードを使っている人が本当に カードの持ち主 かを カード発行会社 が確かめる国際的な本人認証の仕組みである。

カード番号や有効期限は、盗まれれば他人でも入力できるので、それだけでは持ち主になりすました決済を防げない。そこで、カードを受け付ける店 (加盟店) からの依頼を受けて、カードを発行した会社が決済の場で本人かどうかを確かめる。日本でも、ネット通販の加盟店にこの仕組みの導入が求められている。

たとえ店が客の身元を自分で調べるのではなく、その客のカードを作った銀行に電話して「本人で間違いないか」を確かめてから品物を渡すようなもの。

覚え方EMV は Europay・Mastercard・Visa の頭文字で、規格を管理する団体 EMVCo の名に残る。3-D は、加盟店側・発行会社側・両者をつなぐ部分という 3 つの領域 (Domain) を表す。

3Dセキュア2.0 は、EMV 3-Dセキュア を版番号で呼んだ名前で、端末や取引の情報から リスク を判定し、高いと見た取引にだけ追加の確認を求める。

従来の版 (1.0) では、事前に登録した固定のパスワードを決済のたびに入力させていたため、手間がかかり、購入を途中でやめる原因にもなっていた。2.0 では、使っている端末や購入の内容・履歴をもとにカード発行会社がリスクを判定し、普段どおりの取引は利用者に何も求めずに通す。このように、リスクの大きさに応じて確認の強さを変える方式を リスクベース認証 という。

たとえ毎回全員を呼び止める検問から、いつもと様子が違う車だけを止めて確かめる検問に変えるようなもの。