認証（Authentication）

認証（Authentication）とは、相手が名乗ったとおりの本人かどうかを確かめることです。パソコンやサービスを使い始めるとき、最初に必ず通る手続きで、ここを通過して初めて「誰が操作しているのか」がシステムに伝わります。

現実世界に例えると、認証は受付で身分証を見せる場面にあたります。受付は提示されたものを見て、名乗った人物と一致するかを確かめます。この確認が済んだあとで、どの部屋に入ってよいかが決まります。IT の世界でも、この順番はまったく同じです。

認可との違い

この二つはよく混同されますが、役割は別物です。認証で本人と分かっても、すべての操作が許されるわけではありません。誰であるかを決めるのが認証、その人に何を許すかを決めるのが認可です。

確認に使える材料は3種類

認証の方法は数多くありますが、確認の材料は「本人だけが知っていること」「本人だけが持っているもの」「本人自身の特徴」の3つに整理できます。それぞれ知識・所持・生体と呼ばれます。どの方法を採るかは、守りたいものの重さと、利用者にかけてよい手間のつり合いで決まります。

知っていることで確かめる

もっとも古くから使われてきた方法です。パスワードや暗証番号のように、本人だけが知っているはずの情報を答えてもらいます。特別な機器がいらず費用もかからない反面、他人に教えてしまえばそのまま破られ、使い回していれば別のサービスの流出が波及します。単独では弱い、というのが現在の共通認識です。

持っているもので確かめる

次に広く使われているのが所持による確認です。スマートフォンや社員証、ICカードなど、本人が現に持っている物を根拠にします。手元にない人は突破できないため、遠く離れた場所からの不正には強くなります。ただし紛失や盗難がそのまま突破口になるので、暗証番号との併用が前提になります。

体の特徴で確かめる

スマートフォンの普及で一気に身近になった方法です。指紋や顔、静脈といった体の特徴を読み取り、あらかじめ登録した情報と照合します。覚える必要も持ち歩く必要もなく、利用者の手間がもっとも少ない方式です。一方で、体の特徴は変更できないため、登録した情報の扱いには特別な慎重さが求められます。

組み合わせると強くなる

実務での基本方針です。種類の違う材料を2つ以上組み合わせると、片方が破られてももう片方で止められます。パスワードとスマートフォンへの通知、暗証番号と指紋といった形が代表例です。逆に、パスワードと秘密の質問のように同じ種類を重ねても、強さはあまり変わりません。組み合わせる際は種類を変えることが大切です。

人だけが認証されるわけではない

見落とされがちな点です。認証の対象は人にかぎらず、サーバーや機器、プログラムどうしでも行われています。ブラウザのアドレス欄に鍵マークが出るのは、接続先のサーバーが本物だと確かめられた印です。社内ネットワークでは、登録された端末以外を接続させない機器認証も使われます。

パスワードに頼らない方向へ

近年の流れも押さえておきましょう。覚える文字列をなくし、端末に保管した鍵と生体認証で本人確認を済ませる「パスキー」への移行が進んでいます。入力する秘密がないため、偽サイトに打ち込んでしまう被害そのものが起きません。認証の主役は、記憶から機器へと移りつつあります。

あわせて知っておきたい用語

• 認可：
  本人と分かった相手に、どの操作を許すかを決める仕組みです。
• 多要素認証：
  種類の違う確認方法を組み合わせて安全性を高める方式です。
• シングルサインオン：
  一度の認証で複数のサービスを使えるようにする仕組みです。
• 認証局（CA）：
  サーバーなどが本物であることを証明書で保証する機関です。