利用者認証（多要素認証・バイオメトリクス認証）とは？

利用者認証（多要素認証・バイオメトリクス認証）の意味

本人であることを確認する認証の方法を、「知識情報」（パスワードなど本人だけが知っている情報）、「所持情報」（ICカード・スマートフォンなど本人だけが持っているもの）、「生体情報」（指紋・顔などバイオメトリクス）の3要素に分類する考え方。このうち異なる2種類以上の要素を組み合わせる認証を多要素認証という。

利用者認証（多要素認証・バイオメトリクス認証）の具体例

パスワード入力（知識情報）に加え、スマートフォンに届くワンタイムパスワード（所持情報）の入力を求める二段階認証は、多要素認証の典型例。

利用者認証（多要素認証・バイオメトリクス認証）は試験でどう引っ掛けられる？

「異なる2つのパスワードを入力させる」のは同じ要素（知識情報）を2回使っているだけなので多要素認証とは呼ばない点に注意。

利用者認証（多要素認証・バイオメトリクス認証）と関連する用語

• シングルサインオン（SSO）

利用者認証（多要素認証・バイオメトリクス認証）が出た過去問

• Webアプリケーションのセッションが攻撃者に乗っ取られ，攻撃者が乗っ取ったセッションを利用してアクセスした場合でも，個人情報の漏えいなどの被害が拡大しないように…

  正解：パスワードによる利用者認証を行う。

  要点：重要処理の直前に再認証すればセッション乗っ取りの被害を抑制

  セッションを乗っ取られること自体を防げなかった場合でも、重要情報を返す直前にパスワードなど本人しか知らない情報で再認証すれば、攻撃者はその先へ進めない。通信の暗号化やセッションIDの保管方法は乗っ取りの予防策であって、乗っ取られた後の被害拡大は防げない。この設問は被害の拡大防止を問うている点に注意する。

  出典：平成28年度 春期 高度共通_午前I試験 am1 問14（IPA）

• インターネットに接続された利用者のPCから、DMZ上の公開Webサイトにアクセスし、利用者の個人情報を入力すると、その個人情報が内部ネットワークのデータベース（…

  正解：PCとWebサーバ間の通信データを暗号化するとともに、利用者を認証することができるようになる。

  要点：クライアント証明書によるTLSは通信暗号化＋利用者認証

  この構成でTLSが張られるのは、利用者のPCとDMZ上の公開Webサーバとの間である。内部のDBサーバとPCが直接TLS通信するわけではない。さらに利用者個人のディジタル証明書を用いるクライアント認証を行うことで、サーバ側が接続してきた利用者が本人であることを確認できるようになる。

  出典：平成30年度 秋期 高度共通_午前I試験 am1 問12（IPA）

• ブルートフォース攻撃に該当するものはどれか。

  正解：使用可能な文字のあらゆる組合せをそれぞれパスワードとして、繰り返しログインを試みる。

  要点：ブルートフォース攻撃は文字の組合せの総当たり

  ブルートフォース攻撃（総当たり攻撃）は、パスワードとして考えられる文字の組合せをしらみつぶしに試し、ログインの成功を狙う攻撃である。対策としてはアカウントロックや長く複雑なパスワードの強制、多要素認証などが有効である。

  出典：平成30年度 秋期 高度共通_午前I試験 am1 問14（IPA）

• スパムメール対策として、サブミッションポート（ポート番号587）を導入する目的はどれか。

  正解：SMTP-AUTHを使用して、メール送信者を認証する。

  要点：サブミッションポート587はSMTP-AUTHで送信者を認証する

  サブミッションポートは、メール送信者からメールサーバへの送信専用の窓口としてポート587を使う仕組みである。ここでSMTP-AUTHによる利用者認証を必須にすることで、認証を通った正規の利用者だけが送信できるようになり、迷惑メールの踏み台にされることを防ぐ。

  出典：令和5年度 春期 高度共通_午前I試験 am1 問14（IPA）