本ユニットでは、パスワードに頼らないパスワードレス認証や、携帯電話番号を使うSMS認証、一度の認証で複数サービスを使えるシングルサインオン、さらにEMV 3-Dセキュアなどクレジットカード決済向けの本人認証を学びます。利便性と安全性を両立する発展的な認証方式として、情報セキュリティ分野で問われる頻出テーマです。
パスワードを使わず生体情報や所持物で本人確認する認証方式。
パスワードレス認証は、その名のとおりパスワードを入力せずに本人確認を行う方式です。指紋・顔などの生体認証や、スマートフォン・セキュリティキーといった所持しているものを使って認証します。 従来のパスワードは、使い回しや漏えい、推測といった弱点がありました。パスワードレス認証はこれらの原因を断つことで、安全性と使いやすさの両立を狙います。試験では「パスワードを使わない=より安全で便利」という発展形である点と、生体認証や所持認証(スマホ等)を土台にしている点を押さえておきましょう。
たとえ暗証番号を覚えて入力する代わりに、顔パスや社員証のタッチだけで部屋に入れるようにするイメージ。覚える手間も盗み見られる心配もありません。
記憶フックパスワードレス認証といえばパスワードを使わず生体や所持物で本人確認
SMSで送る確認コードの入力で本人確認する所持認証。
SMS認証は、登録した携帯電話番号宛にショートメッセージ(SMS)で一時的な確認コードを送り、それを入力させることで本人確認を行う方式です。 コードを受け取れるのは正しい電話番号の端末を持つ本人だけ、という前提から、「所持しているもの」による認証(所持認証)の一種です。ID・パスワード(知識)に加えて使えば多要素認証になり、安全性が高まります。試験では、SMS認証が所持認証であること、パスワードと組み合わせる追加の本人確認手段として使われる点が問われます。
たとえ宅配ボックスの解錠番号を、契約者本人のスマホにだけ届くようにする仕組みに似ています。番号を受け取れる端末を持つ人だけが操作できます。
記憶フックSMS認証といえば携帯に届く確認コードで本人確認する所持認証
一度の認証で複数のサービスを使えるようにする仕組み。
シングルサインオン(SSO)は、一度ログイン(認証)すれば、その後は再びIDやパスワードを入力しなくても、連携する複数のサービスをまとめて利用できる仕組みです。 利用者は覚えるパスワードが減り、ログインの手間も省けるため利便性が上がります。一方で、その一つの認証情報が破られると複数サービスに被害が及ぶため、最初の認証を強固にすることが重要です。試験では、SSO=「一度の認証で複数サービス」という定義と、利便性向上の代表策である点が頻出です。
たとえ遊園地の入口で一度フリーパスを見せれば、中の各アトラクションにいちいち券を買わず乗り放題になるイメージ。最初の一回でまとめて通れます。
記憶フックシングルサインオンといえば一度の認証で複数サービス利用
オンラインのカード決済で本人認証を行う国際的な仕組み。
EMV 3-Dセキュアは、インターネット上のクレジットカード決済で、カード名義人が本当に本人かを確認するための国際的な本人認証の仕組みです。 カード番号や有効期限だけでは「持ち主のなりすまし」を防げないため、決済時に追加の本人確認を行い、不正利用(なりすまし決済)を減らします。試験では、これがカード番号入力に上乗せされるオンライン決済向けの本人認証であり、不正利用対策として用いられる点を押さえておきましょう。
たとえ通販でカードを使うとき、番号だけでなく「本当にあなたですか」と本人だけが答えられる確認を一段追加するイメージ。盗んだ番号だけでは決済できなくします。
記憶フックEMV 3-Dセキュアといえばオンラインカード決済の本人認証
EMV 3-Dセキュアの新しい版で利便性を高めた本人認証方式。
3Dセキュア2.0は、オンラインカード決済の本人認証であるEMV 3-Dセキュアの新しいバージョンです。従来は決済のたびに固定パスワード入力を求められ手間でしたが、2.0では端末や購入の情報をもとにリスクを判断します。 リスクが低いと判断した取引は追加の本人確認を省き、怪しい取引のときだけワンタイムパスワードなどの確認を求めます。これにより、安全性を保ちつつ利用者の手間とかご落ち(購入の途中離脱)を減らせます。試験では、旧来方式の改良版で利便性と安全性を両立した決済認証である点が問われます。
たとえ毎回必ず守衛に呼び止められる検問を、普段は素通りでき、不審なときだけ呼び止めて確認する方式に変えたイメージ。安全を保ちつつ通過を速くします。
記憶フック3Dセキュア2.0といえばリスクに応じて確認する改良版の決済認証
関連の過去問演習は今後のアップデートで追加予定です。