利用者認証とは？りようしゃにんしょう
利用者認証とは、システムを使おうとしている人が、登録された本人であることを確かめる仕組み。確かめる手がかりは、本人だけが知っているもの（知識：パスワード、PIN（Personal Identification Number＝暗証番号。キャッシュカードで入れる4桁の数字など）、合い言葉）、本人だけが持っているもの（所持：ICカード、スマートフォン）、本人の体の特徴（生体：指紋、顔、静脈）の3種類に分けられる。種類の異なる2つ以上を組み合わせるのが多要素認証、生体の特徴を使うのがバイオメトリクス認証（生体認証）である。
最終更新：2026-10-10
この語が出る過去問を解く →背景
パスワードだけの認証は、使い回しや漏えいが避けられない。あるサービスから漏れたIDとパスワードの組を、別のサービスで次々に試す攻撃（パスワードリスト攻撃）が広がると、どれだけ長いパスワードでも一度漏れれば突破される。種類の違う手がかりを足せば、片方が漏れてももう片方が無い限り入れない。この考えから、3要素の分類と多要素認証が整理された。
具体例
Googleアカウントの2段階認証プロセスを有効にすると、パスワード（知識）を入れたあと、本人のスマートフォン（所持）に届く確認画面で「はい」を押さないとログインできない。一方、iPhoneのFace IDは顔（生体）だけで画面のロックを解除する生体認証で、使う要素は1つなので、これだけでは多要素認証に当たらない。顔の特徴のデータは端末の中に保存され、外へは送られない。
試験での引っ掛け
パスワードのあとに秘密の質問を聞くのは、知識を2回使っているだけなので、二段階ではあっても多要素認証ではない。ICカードとPINは所持と知識の組合せで多要素になる。生体認証では、他人を本人と誤って通す割合（他人受入率）と、本人をはじく割合（本人拒否率）は、同じ装置で判定の厳しさ（しきい値）を変えるかぎり、一方を下げると他方が上がる。読み取りの装置や照合の方式を改良すれば両方を下げられるので、「どんな場合も両方は下げられない」とは言えない。パスワードを忘れた人に合い言葉で本人確認したあと、元のパスワードを画面に表示する運用は不適切で、本人に新しいパスワードを設定させる。
関連用語
出た過去問
出典：平成28年度 秋期 基本情報技術者試験 午前 問40（IPA）
ICカードとPINを用いた利用者認証における適切な運用はどれか。
正解：PINは，ICカードの配送には同封せず，別経路で利用者に知らせる。
要点：ICカードとPINは別経路で渡す。所持と知識を同時に渡さない
ICカードは所持による認証、PINは知識による認証であり、両方そろって初めて二要素認証として意味を持つ。したがってカードとPINが同時に第三者の手に渡らないよう、配送経路を分けて通知する運用が適切である。
出典：平成28年度 春期 基本情報技術者試験 午前 問40（IPA）
Webシステムのパスワードを忘れたときの利用者認証において合い言葉を使用する場合，合い言葉が一致した後の処理のうち，セキュリティ上最も適切なものはどれか。
正解：あらかじめ登録された利用者のメールアドレス宛てに，パスワード再登録用ページへアクセスするための，推測困難なURLを送信する。
要点：再設定は登録済みアドレスへ推測困難なURLを送る
現パスワードをメールで送る運用は、そもそもパスワードを復元可能な形で保存していることを意味し、経路上での盗み見の危険も伴う。また、その場で入力された新しいメールアドレスへ送ると、なりすましにそのまま渡してしまう。あらかじめ登録済みのアドレス宛てに、推測困難な再設定用URLを送る方式が最も安全である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。