利用者認証（多要素認証・バイオメトリクス認証）とは？りようしゃにんしょう
利用者認証（多要素認証・バイオメトリクス認証）とは、本人確認の手段は、記憶（パスワード）・所持（ICカードやスマートフォン）・生体（指紋・顔・静脈）の3要素に分類される。このうち種類の異なる2つ以上を組み合わせるのが多要素認証で、生体情報を用いる方式をバイオメトリクス認証という。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パスワードは使い回しと漏えいが避けられず、一度漏れた組合せがリスト型攻撃で他サービスへ横展開される。要素を1つ足せば片方が漏れても突破されない——という理屈が多要素認証で、いまは所持要素そのものを鍵とするFIDO2やパスワードレス認証まで進んだ。試験では「なぜ2要素だと強くなるのか」を要素の性質から説明できるかが問われる。
具体例
ネットバンキングで、パスワード（記憶）に加えてスマートフォンのアプリが出すワンタイムパスワード（所持）を求める形が典型。iPhoneのFace IDは端末の所持と生体の組合せで、生体情報自体は端末内の保護領域から外へ出さない設計になっている。
試験での引っ掛け
パスワードと秘密の質問のように記憶要素を2回使うのは、二段階ではあっても多要素ではない。バイオメトリクス認証では他人受入率（FAR）と本人拒否率（FRR）が閾値でトレードオフの関係にあり、片方だけを下げることはできない。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 春期 応用情報技術者試験 午前 問41（IPA）
Webアプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないように…
正解：パスワードによる利用者認証を行う。
要点：乗っ取り後の被害抑止には重要操作直前の再認証が有効
セッションが乗っ取られている前提では、セッションIDの管理方法をどう工夫しても情報の閲覧は止められない。重要情報を返す直前にパスワードによる再認証を求めれば、本人しか知らない情報を持たない攻撃者は先へ進めず、被害の拡大を防げる。
出典：平成30年度 秋期 応用情報技術者試験 午前 問40（IPA）解説で登場
インターネットに接続された利用者のPCから，DMZ上の公開Webサイトにアクセスし，利用者の個人情報を入力すると，その個人情報が内部ネットワークのデータベース（…
正解：PCとWebサーバ間の通信データを暗号化するとともに，利用者を認証することができるようになる。
要点：クライアント証明書付きTLSは通信路の暗号化と利用者認証を担う。
TLSはPCと通信相手であるWebサーバとの間の通信を暗号化するもので、その先のDBサーバとの区間までは保護されない。ここで利用者個人のディジタル証明書（クライアント証明書）を使うと、サーバ側が証明書によって接続してきた利用者本人を確認できる。したがってPC−Webサーバ間の暗号化と、利用者の認証が同時に得られる。
出典：令和5年度 春期 応用情報技術者試験 午前 問44（IPA）解説で登場
スパムメール対策として、サブミッションポート（ポート番号587）を導入する目的はどれか。
正解：SMTP-AUTHを使用して、メール送信者を認証する。
要点：587番はSMTP-AUTHで送信者を認証する専用ポート
サブミッションポート587番は、利用者からの送信を受け付ける専用の口として、25番のメール転送と分けて使う。ここでSMTP-AUTHによる利用者認証を必須とすることで、認証を通った正規の利用者だけが送信でき、第三者による迷惑メールの送信を防げる。
出典：令和6年度 秋期 応用情報技術者試験 午前 問37（IPA）
企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち、適切なものはどれか。ここで、利用者IDとパス…
正解：認証サーバから認証結果をクライアント経由でクラウドサービスに送信する。
要点：SAMLは認証結果をクライアント経由でSPへ渡しパスワードを渡さない
SAMLでは、企業内の認証サーバ（IdP）が利用者を認証し、その結果をデジタル署名付きのアサーションとして発行する。アサーションは利用者のブラウザ（クライアント）経由でクラウドサービス（SP）へ渡され、SPは署名を検証して利用者を受け入れる。パスワード自体がクラウドサービス側へ渡らないことが、この方式の要点である。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。