利用者認証（多要素認証・バイオメトリクス認証）とは？りようしゃにんしょう
利用者認証（多要素認証・バイオメトリクス認証）とは、本人確認に使う情報を、知識（パスワードなど知っているもの）、所持（IC カードやスマートフォンなど持っているもの）、生体（指紋・顔などその人自身の特徴）の3要素に分類する考え方。種類の異なる要素を2つ以上組み合わせる方式を多要素認証という。
最終更新：2026-10-07
この語が出る過去問を解く →背景
パスワードだけの認証は、漏えい・使い回し・フィッシングのどれか1つで突破される。性質の違う要素を重ねると、攻撃者は入手経路の異なる2種類を同時に手に入れなければならず、遠隔からの一括攻撃が成立しにくくなる。要素の「種類」を数えるのはこのためで、同じ種類を重ねても攻撃経路は増えない。
具体例
マイナポータルへのログインは、マイナンバーカード（所持）を読み取ったうえで暗証番号（知識）を入力する。銀行アプリの生体認証は、登録済み端末（所持）と指紋・顔（生体）の組合せ。FIDO2／WebAuthn によるパスキーも、端末内の鍵と生体照合を組み合わせた同じ型にあたる。
試験での引っ掛け
多要素と多段階は別物で、パスワードの後に秘密の質問を出しても知識を2回使っているだけなので多要素にはならない。バイオメトリクス認証では、他人受入率（FAR）と本人拒否率（FRR）が判定しきい値によってトレードオフの関係になる点も問われる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 春期 高度試験 午前Ⅰ 問14（IPA）
Webアプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないように…
正解：パスワードによる利用者認証を行う。
要点：重要処理の直前に再認証すればセッション乗っ取りの被害を抑制
セッションを乗っ取られること自体を防げなかった場合でも、重要情報を返す直前にパスワードなど本人しか知らない情報で再認証すれば、攻撃者はその先へ進めない。通信の暗号化やセッションIDの保管方法は乗っ取りの予防策であって、乗っ取られた後の被害拡大は防げない。この設問は被害の拡大防止を問うている点に注意する。
出典：平成30年度 秋期 高度試験 午前Ⅰ 問12（IPA）解説で登場
インターネットに接続された利用者のPCから、DMZ上の公開Webサイトにアクセスし、利用者の個人情報を入力すると、その個人情報が内部ネットワークのデータベース（…
正解：PCとWebサーバ間の通信データを暗号化するとともに、利用者を認証することができるようになる。
要点：クライアント証明書によるTLSは通信暗号化＋利用者認証
この構成でTLSが張られるのは、利用者のPCとDMZ上の公開Webサーバとの間である。内部のDBサーバとPCが直接TLS通信するわけではない。さらに利用者個人のディジタル証明書を用いるクライアント認証を行うことで、サーバ側が接続してきた利用者が本人であることを確認できるようになる。
出典：令和5年度 春期 高度試験 午前Ⅰ 問14（IPA）解説で登場
スパムメール対策として、サブミッションポート（ポート番号587）を導入する目的はどれか。
正解：SMTP-AUTHを使用して、メール送信者を認証する。
要点：サブミッションポート587はSMTP-AUTHで送信者を認証する
サブミッションポートは、メール送信者からメールサーバへの送信専用の窓口としてポート587を使う仕組みである。ここでSMTP-AUTHによる利用者認証を必須にすることで、認証を通った正規の利用者だけが送信できるようになり、迷惑メールの踏み台にされることを防ぐ。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。