認証・認可・多要素認証とは？わかりやすく解説
本人確認、権限確認、複数の方法で守る考え方を学びます。
最初に考えてみよう
もし「ログインできた人なら何でも操作できる」仕組みにしてしまうと、一般ユーザーまで管理者向けの画面を使えてしまいます。どうすれば、本人かどうかの確認と、使ってよい範囲の確認を分けて管理できるのでしょうか？
解説
1認証 → 認可 の順番
だれが・どの画面を開こうとするかを選んで、2つのゲートを通れるか試そう。
- 認証（Authentication）＝本人確認。「あなたは誰？」
- 認可（Authorization）＝権限の許可。「何をしてよい？」
※ 必ず「認証してから認可」。誰かが分からなければ、何を許すかも決められません。 一度の認証で連携した複数のサービスを使えるしくみを SSO（シングルサインオン）といいます。
2どっち？（認証 or 認可）
次は「本人確認（認証）」と「権限の許可（認可）」のどちら？ 試験で混同しやすいポイントです。
- IDとパスワードでログインする
- 指紋でスマホのロックを解除する
- 一般社員は給与データを見られない
- 管理者だけが設定を変更できる
3多要素認証（異なる種類を2つ以上）
認証の方法は3種類（知識・所持・生体）。異なる種類を2つ以上組み合わせると多要素認証になり、安全性が上がります。使うものを選んでみよう。 生体には、指紋や顔のような体の特徴だけでなく、筆跡・筆圧・キー入力のリズムのような動作のくせ（行動的特徴）も入ります。
※ ポイントは「数」ではなく「種類のちがい」。パスワードを2つ使っても、どちらも知識なので多要素ではありません。
4認証の3要素で仕分ける
認証要素は知識情報・所持情報・生体情報の3種類（知識・所有物・バイオメトリクスとも呼ぶ）。 「個人情報」は認証要素の分類に入りません。
- 知識パスワード・PIN（暗証番号）
- 知識本人しか知らない秘密の質問の答え
- 知識決められた順に点をなぞるパターン
- 所持社員証のICカード
- 所持スマホに届くSMSのコード
- 生体指紋・静脈・顔・虹彩
- 生体筆跡・筆圧・キー入力のタイミング
ID＋パスワード（知識）に1つ足すと、二要素認証になる？
- 所持ICカードを読み取るなる
- 知識秘密の質問に答えるならない
- 生体カメラで顔を照合するなる
パスワードと秘密の質問は、どちらも知識。数を増やしても同じ種類なら一要素のままです。
5バイオメトリクス認証：2つの誤りはシーソー
体の特徴は毎回少しずつ違うので、照合にはどこまで似ていれば本人とみなすかの設定があります。厳しさを変えてみよう。
他人受入率他人を本人と誤って受け入れる割合
本人拒否率本人なのに拒否してしまう割合
バランス：目的に合わせて、どこに合わせるかを決める
※ 棒の長さは考え方を示すための例です
| 他人受入率を低く抑える | 安全性を重視 |
| 本人拒否率を低く抑える | 利便性を重視 |
バイオメトリクス認証でも他人を誤って認証するリスクはゼロではない。スマホにも載っていて、のぞき見で盗まれることもありません。
6認証のしくみの言葉
- リスクベース認証
- いつもと違うPCや場所からのログインなど、危険が高いときだけ秘密の質問などで追加の認証をする
- チャレンジレスポンス認証
- サーバが毎回違う値（チャレンジ）を送り、利用者はパスワードと組み合わせて計算した値を返す。パスワードそのものは流さない
- シングルサインオン
- 1回の認証で、複数のサーバやアプリケーションにログインできる
- CAPTCHA
- ゆがんだ文字の画像などを読ませ、人間かプログラムかを見分ける。バイオメトリクス認証ではない
- マトリクス認証
- 表の中の位置を覚えておき、その位置に並ぶ数字や文字を入力する
- PIN
- 本人確認に使う、数字だけの暗証番号
リスクベース認証と取り違えやすい対策
- ・操作がないので自動でログアウト → セッションの時間切れ
- ・パスワードを何回も間違えたのでロック → アカウントロック
- ・長く変えていないパスワードの変更を促す → パスワードの管理
IoT機器も同じ。ネットワークカメラへの不正侵入を防ぐには、初期パスワードのまま使わないことが基本です。
7どれ？
- SMSで届いたコードを入力する認証は、どの要素？
- キーボードを打つ速度やタイミングで本人を確かめる。これは？
- 本人拒否率を低く抑える設定にすると、何を重視した認証になる？
- いつもと違う国からのログインだったので、追加で秘密の質問を出した。
試験のポイント
ITパスポート試験での問われ方
認証と認可の違い、多要素認証の目的が問われる
間違えやすいポイント
- 認証と認可を同じ意味で使う
- 二つのパスワードだけで多要素と考える
関連用語
認証、認可、多要素認証、生体認証
図解の内容を文章で読む
認証・認可・多要素認証をイメージでつかむ
認証は「あなたは誰か」を確認すること、認可は「何をしてよいか」を許可することです。多要素認証は、パスワードだけでなくスマホ通知や指紋など複数の種類で確認し、安全性を高めます。
たとえると：学校に入るときの身分証確認が認証、職員室に入ってよいかの許可が認可です。
認証は「操作しているのが本人かどうか」を確かめること、認可は「その人に何を許すか」を決めることです。順番は必ず認証が先で、本人だと確認できてはじめて権限の判断ができます。ログインはできたのに管理者ページに入れないのは、認証は通ったが認可されていない状態です。多要素認証は、知識（パスワードなど）・所持（スマホやICカード）・生体（指紋や顔）という異なる種類の要素を2つ以上組み合わせる本人確認です。パスワードを2つ使っても同じ「知識」なので多要素にはなりません。パスワードが漏れても、スマホや指紋がなければ突破されないのがねらいです。試験では「認証と認可の違い」「多要素と呼べる組合せはどれか」が問われます。
押さえどころ
- 認証 = 本人確認
- 認可 = 権限確認
- 多要素認証 = 複数種類で確認
確認問題（4問）
確認問題は本サービスのオリジナル問題です。ログインなしで解けます（結果は保存されません）。
「認証・認可・多要素認証」の過去問（11問）
IPAが公開しているITパスポート試験の公開問題から、このテーマの問題を集めました。
あわせて覚える英略語
つながるテーマ
学習を記録して、合格まで続ける
教材と確認問題はこのページで全部無料で使えます。登録すると「認証・認可・多要素認証」の結果や習熟度が記録され、苦手分野の復習提案、試験日までの学習計画、合格準備度の見える化が使えます。最初の7日間は学習記録も無料です。