認証技術・利用者認証・生体認証・PKI｜情報セキュリティマネジメント試験

本人だと確かめる方法と、確かめた後に渡す権限

認証は、名乗ってきた相手が本当にその人かを確かめる手続です。この単元では、確かめ方の種類と、確かめたうえでどこまでの権限を渡すかという管理までを扱います。

本人を確かめる手掛かりは、本人だけが知っていること、本人だけが持っているもの、本人の身体的な特徴という三つの種類に分かれます。種類の違う二つ以上を組み合わせるのが多要素認証です。同じ種類を重ねても、その種類ごとまとめて破られる場面では一度に突破されるので、種類が違うことに意味があります。ICカードとPINの組合せはその典型です。

パスワードだけに頼る弱さを補う方式がいくつもあります。一度限りで使い捨てる値を用いるワンタイムパスワード、サーバが毎回異なるデータを送り、それとパスワードから計算した結果だけを返すチャレンジレスポンス認証、普段と違うIPアドレスや機器からの要求のときだけ追加の認証を求めるリスクベース認証です。人には読めて機械には読み取りにくい画像を示し、相手が人かプログラムかを見分けるCAPTCHAもあります。

生体認証は身体的な特徴を読み取ります。どれくらい似ていれば本人と認めるかというしきい値を緩めると、本人拒否率（FRR）は下がる代わりに他人受入率（FAR）が上がり、厳しくすれば逆になります。二つは同じしきい値の裏表にある関係です。

公開鍵の持ち主を保証する仕組みが公開鍵基盤（PKI）です。認証局が公開鍵にデジタル証明書を発行し、有効期間の途中で失効させたものはCRLという一覧で示します。認証局は階層をなしていて、頂点のルート認証局は上に裏書きしてくれる相手がいないため、運用規程を公開して信頼に足ることを自ら示します。

確かめた後は権限の管理です。役割に必要な最小限だけを与えるのが最小権限で、設定の変更や権限の操作までできる強い権限は特権的アクセス権として、とりわけ厳しく扱います。一人に権限を集めない職務分掌や、退職や異動に合わせた利用者IDの棚卸しも、認証を実際に効かせるための土台です。