二段階認証はどの手順を二回と数えるか
ITパスポート試験 令和3年度 問60 ／ セキュリティ › 情報セキュリティ対策・実装技術
過去問にチャレンジ
情報システムにおける二段階認証の例として，適切なものはどれか。
- ア
画面に表示されたゆがんだ文字列の画像を読み取って入力した後，利用者IDとパスワードを入力することによって認証を行える。
- イ
サーバ室への入室時と退室時に生体認証を行い，認証によって入室した者だけが退室の認証を行える。
- ウ
利用者IDとパスワードを入力して認証を行った後，秘密の質問への答えを入力することによってログインできる。
- エ
利用者IDの入力画面へ利用者IDを入力するとパスワードの入力画面に切り替わり，パスワードを入力することによってログインできる。
会話形式の解説
講師二段階認証かどうかは、同じ手順の中で本人を確かめる認証を二回行うかに注目します。
受験者ゆがんだ文字列を入力してからIDとパスワードを入力するなら、二回に見えます。
講師ゆがんだ文字列を使うCAPTCHAは、人間と自動プログラムを判別する仕組みです。利用者本人は確かめないので、その後の認証と合わせても二段階にはなりません。
受験者入室時と退室時に生体認証する場合は、本人を二回確かめていますよね。
講師二回行いますが、入室と退室は別々の機会です。入室するときの本人認証は一段階だけです。
受験者では、IDとパスワードで認証した後に秘密の質問に答える手順はどうですか。
講師最初の認証に成功した後、同じログイン手順の中で秘密の質問による追加の本人認証を行います。これが二段階認証に当たります。
受験者IDとパスワードの入力画面が別々でも、二段階にはならないのですか。
講師画面が切り替わるだけなら、IDとパスワードによる本人認証は一回です。画面の数と認証の回数は分けて考えます。
受験者同じ手順の中で本人認証が二回あるのは、秘密の質問を追加する場合ですね。
講師そのとおりです。二段階認証では、二回の認証に同じ種類の要素を使っても構いません。異なる種類の要素を使う二要素認証とは区別しましょう。
まとめ
二段階認証は、最初の本人認証に成功した後、同じ手順の中で追加の本人認証を行います。IDとパスワードによる認証後に秘密の質問へ答える手順が該当します。CAPTCHAは本人認証ではなく、入室時と退室時の認証は別々の機会に行います。入力画面を分けても、本人認証の回数は増えません。
解答・解説
正解はウです
この問題のテーマ
二段階認証に当たる手順を見分ける問題です。本人認証を順に二回行っているかが問われます。
解き方の考え方
まず、各手順で本人認証が何回行われるかを確かめます。人間かどうかの判別や、入力画面の切替えは本人認証の回数に含めません。二段階認証では、二回の認証に同じ種類の要素を使っても構いません。
選択肢ごとの解説
- ×ア 画面に表示されたゆがんだ文字列の画像を読み取って入力した後，利用者IDとパスワードを入力することによって認証を行える。ゆがんだ文字列を入力するCAPTCHAは、人間と自動プログラムを判別する仕組みです。利用者本人を確かめる認証ではないため、続くIDとパスワードによる認証と合わせても二段階認証にはなりません。
- ×イ サーバ室への入室時と退室時に生体認証を行い，認証によって入室した者だけが退室の認証を行える。入室時と退室時の生体認証は、別々の機会に行う認証です。入室するときの本人認証は一段階だけなので、二段階認証の例ではありません。
- ○ウ 利用者IDとパスワードを入力して認証を行った後，秘密の質問への答えを入力することによってログインできる。IDとパスワードで本人認証を行い、成功した後に秘密の質問への答えで追加の本人認証を行います。同じログイン手順の中で認証を順に二回行うため、二段階認証に当たります。
- ×エ 利用者IDの入力画面へ利用者IDを入力するとパスワードの入力画面に切り替わり，パスワードを入力することによってログインできる。利用者IDの画面からパスワードの画面に切り替わっても、入力画面を分けているだけです。IDとパスワードによる本人認証は一回なので、二段階認証にはなりません。
補足
二段階認証は、二回の認証で使う要素が同じ種類でも成立します。異なる種類の認証要素を使う二要素認証との違いを押さえておきましょう。
POINT
- 二段階認証は、最初の本人認証に成功した後、追加の本人認証を行います。
- CAPTCHAは人間と自動プログラムを判別しますが、利用者本人は認証しません。
- 入室時と退室時の認証は、別々の機会に行うものです。
- 入力画面の数と本人認証の回数は区別します。