リスクベース認証の見分け方、多要素認証やOTPとどこが違うか
情報セキュリティマネジメント試験 令和元年度秋期 午前 問24 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
リスクベース認証に該当するものはどれか。
- ア
インターネットバンキングでの取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。
- イ
全てのアクセスに対し、トークンで生成されたワンタイムパスワードを入力さ せて認証する。
- ウ
利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
- エ
利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。
会話形式の解説
講師今回はリスクベース認証の定義を問う問題です。各選択肢は乱数表、ワンタイムパスワード、多要素認証など、いろいろな認証方式を説明しています。見るところは2つで、「利用者の環境を分析しているか」と「追加の認証を条件付きで求めているか」です。
受験者リスクベース認証という名前なので、安全性の高い方式を選べばよいと思っていました。ワンタイムパスワードを全てのアクセスに求める方式も強そうに見えます。
講師そこが引っかけになりやすいところです。リスクベース認証は、利用者の環境や行動からそのアクセスのリスクを評価して、普段と違うときにだけ追加の認証を求める方式です。どれだけ強い認証かではなく、リスクに応じて認証を変えるかどうかがポイントです。
受験者それなら、ワンタイムパスワードを「全てのアクセスに対し」入力させる方式は、一律なので当てはまらないということですか。
講師そのとおりです。トークンで作った使い捨てのパスワードを入れさせる方式ですが、どのアクセスにも同じように求めていて、リスクを評価する仕組みがありません。
受験者乱数表のマス目の英数字を入力させる方式は、毎回指定されるマス目が変わります。状況によって変えているので、リスクベース認証に近いのではと迷いました。
講師マス目は毎回変わりますが、それは環境を分析した結果ではありません。取引のたびに必ず認証を求めているので、条件付きではないのです。乱数表を使った認証の説明であって、リスクベース認証ではありません。
受験者記憶、持ち物、身体の特徴のうち二つ以上を必ず組み合わせる方式は、多要素認証ですね。
講師はい。多要素認証は認証要素の組み合わせ方を表す考え方です。「必ず」複数の要素を求めていて、環境に応じて認証を変える条件はないので、リスクベース認証とは別のものです。
受験者残るのは、IPアドレスなどの環境を分析して、いつもと違うネットワークからのアクセスにだけ追加の認証をする方式です。環境の分析と条件付きの追加認証、どちらにも当てはまります。
講師それが正解です。リスクの評価には、IPアドレスのほかOS、Webブラウザ、端末などの環境情報が使われます。追加の認証には、ワンタイムパスワード、秘密の質問、SMS認証、生体認証、合言葉などが使われます。
受験者追加の認証でもワンタイムパスワードを使うことがあるのですね。手段だけを見ていると、また迷ってしまいそうです。
講師そうなんです。見分けるときは、何を使うかではなく「いつ求めるか」に注目してください。リスクが高いときだけ求めるならリスクベース認証です。「全てのアクセスに対し」や「必ず」のように一律に求める説明なら、リスクベース認証ではないと判断できます。
まとめ
リスクベース認証は、IPアドレス、OS、Webブラウザ、端末などの環境情報からアクセスのリスクを評価し、普段と違う場合にだけ追加の認証を求める方式です。この問題では、いつもと異なるネットワークからのアクセスにだけ追加の認証をする選択肢が正解です。乱数表による認証や、全てのアクセスにワンタイムパスワードを求める方式は、毎回一律に認証を求めるので当てはまりません。多要素認証は認証要素の組み合わせ方を表す考え方で、リスクベース認証とは別のものです。見分けるときは、認証の手段ではなく「いつ求めるか」に注目します。
解答・解説
正解はウです
この問題のテーマ
リスクベース認証の定義を理解し、乱数表による認証、ワンタイムパスワード、多要素認証といった他の認証方式と区別できるかを問う問題です。
解き方の考え方
リスクベース認証では、まず利用者の環境や行動からアクセスのリスクを評価します。そして、普段と異なる状況のときにだけ追加の認証を求めます。そこで各選択肢を、「環境を分析しているか」「追加認証が条件付きか」の2点で確かめます。全アクセスに一律に同じ認証を求める方式や、常に複数の要素を求める方式は、リスクベース認証には当たりません。
選択肢ごとの解説
- ×ア インターネットバンキングでの取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。取引のたびに乱数表の指定したマス目の英数字を入力させる方式は、乱数表を使った認証の説明です。取引のたびに同じ手順を求めており、利用環境のリスクを評価して認証を変える仕組みはありません。
- ×イ 全てのアクセスに対し、トークンで生成されたワンタイムパスワードを入力さ せて認証する。トークンで生成したワンタイムパスワードを入力させる方式です。「全てのアクセスに対し」一律に求めているので、リスクに応じて追加認証をするリスクベース認証の性質とは合いません。
- ○ウ 利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。IPアドレスなどの利用環境を分析し、いつもと異なるネットワークからのアクセスにだけ追加の認証をする、という説明です。環境からリスクを評価し、リスクが高いときに限って認証を強める点が、リスクベース認証の説明にそのまま当てはまります。
- ×エ 利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。記憶・持ち物・身体の特徴のうち二つ以上を必ず組み合わせる方式は、多要素認証の説明です。常に複数の要素を求めており、環境の分析によって認証の内容を変える条件はないため、リスクベース認証とは別の考え方です。
補足
リスクベース認証の追加認証にもワンタイムパスワードが使われることがあるため、イと迷う人がいます。見分けるポイントは、使う手段ではなく「いつ求めるか」です。リスクが高いときだけ求めるのか、常に求めるのかで判断してください。多要素認証とも混同しやすいですが、多要素認証は認証要素の組み合わせ方を表す概念で、リスクベース認証とは別のものです。
POINT
- リスクベース認証は、利用者の環境や行動からアクセスのリスクを評価し、普段と異なる場合にだけ追加の認証を求める方式です。
- リスクの評価には、IPアドレス、OS、Webブラウザ、端末などの環境情報が使われます。
- 追加の認証には、ワンタイムパスワード、秘密の質問、SMS認証、生体認証、合言葉などが使われます。
- 「全てのアクセスに対し」「必ず」のように一律に求める説明は、条件付きで動くリスクベース認証には当たりません。