認証技術

① ユーザ認証の手法

ユーザ認証とは、システムにアクセスしようとしている人が本当に本人であるかを確認するプロセスです。代表的な認証方式を見ていきましょう。

ワンタイムパスワード（OTP）

一度きりしか使えない使い捨てのパスワードです。ログインのたびに新しいパスワードが生成されるため、万が一盗聴されても次回以降は使えません。スマートフォンアプリ（Google Authenticatorなど）やSMSで送信される6桁のコードが身近な例です。

SSO（シングルサインオン）

一度の認証で複数のシステムやサービスにアクセスできる仕組みです。ユーザーは1つのID/パスワードだけを覚えればよく利便性が向上しますが、その1つの認証情報が漏洩するとすべてのシステムが危険にさらされるリスクがあります。

バイオメトリクス（生体認証）

指紋、虹彩、静脈パターン、顔の特徴など、身体的特徴を使って本人確認を行う方式です。パスワードのように忘れたり盗まれたりする心配が少ない反面、一度データが漏洩すると変更できないという課題があります。生体認証には2つの誤り指標があります。

• 本人拒否率（FRR）: 本人なのに拒否してしまう確率
• 他人受入率（FAR）: 他人なのに受け入れてしまう確率

チャレンジレスポンス方式

サーバが乱数（チャレンジ）を送信し、クライアントがそれを秘密情報で変換した結果（レスポンス）を返す方式です。パスワード自体をネットワーク上に流さないため、盗聴に強い特徴があります。

② 二要素認証 vs 二段階認証

認証で使用する要素は大きく3種類に分類されます。

この3つの要素を踏まえた上で、以下の違いを押さえましょう。

二要素認証は必ず異なるカテゴリから要素を選ぶ点がポイントです。パスワード＋秘密の質問は両方とも「知識要素」なので、二段階認証ではあっても二要素認証にはなりません。

③ リスクベース認証とパスキー認証

リスクベース認証

ログイン時の状況（IPアドレス、端末情報、利用時間帯、位置情報など）からリスクを自動的に判定し、リスクが高い場合のみ追加認証を求める方式です。普段と異なる場所からのアクセスで追加の本人確認を求められた経験がある方もいるのではないでしょうか。これがリスクベース認証の一例です。

パスキー認証（FIDO認証）

パスワードそのものを使わない新しい認証方式で、FIDO（Fast Identity Online）アライアンスが策定した標準規格に基づいています。公開鍵暗号技術を活用し、以下のような特徴を持ちます。

• サーバにはユーザーの公開鍵のみを保管（パスワードデータベースが不要）
• 端末側に保存された秘密鍵で認証情報に署名し、サーバの公開鍵で検証
• フィッシング攻撃に強い（ドメインに紐づいた認証のため偽サイトでは動作しない）
• マルチデバイス対応: クラウド経由で複数端末間でパスキーを同期できる

パスキーはApple、Google、Microsoftの主要プラットフォームで対応が進んでおり、パスワードに代わる次世代の認証手段として普及が加速しています。