リスクベース認証とは何か、似た仕組みとどう見分けるか
情報セキュリティマネジメント試験 令和6年度 問5 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
リスクベース認証の説明として，適切なものはどれか。
- ア
機器の画面に表示された点を正しい順序に一筆書きでなぞった場合，認証が成功し，機器のロックが解除される。
- イ
通常とは異なるIPアドレス，Webブラウザなどから認証要求があった場合に，追加の認証を行う。
- ウ
認証局が，Webサイトへのサーバ証明書発行において，サーバ証明書に記載される組織のドメイン利用権，法的及び物理的実在性を確認する。
- エ
ゆがんだ文字を含む画像を表示し，その文字が正しく入力された場合に認証が成功する。
会話形式の解説
講師今回はリスクベース認証の定義を問う問題です。選択肢には「認証」や「確認」の仕組みが並んでいます。それぞれが誰を、何のために確かめているかに注目すると見分けやすくなります。
受験者名前からすると、リスクの高さを見て認証を変える仕組みだと思います。でも、ゆがんだ文字を入力させるものも不正対策なので、少し迷いました。
講師最初の読みは合っています。リスクベース認証は、認証要求のたびに利用環境から不正の危険度を判定します。そして危険度が高いときだけ追加の認証を求めます。普段と違うIPアドレスやWebブラウザから認証要求があったら追加の認証を行う、という選択肢がまさにこの説明です。
受験者ゆがんだ文字の画像を読み取って入力させるほうは、CAPTCHAでしょうか。
講師そうです。CAPTCHAは、アクセスしてきたのが人間か自動プログラムかを見分けるための対策です。特定の利用者本人を確かめるものではありませんし、利用状況の危険度で認証を変えるわけでもありません。
受験者画面の点を一筆書きでなぞってロックを解除するのは、スマートフォンでよく見るパターンロックですね。
講師はい、パターン認証です。なぞった軌跡を秘密情報として使う、端末のロック解除方法です。毎回同じ方法で確かめるので、危険度に応じて認証を強めるという考え方は入っていません。
受験者認証局がドメインの利用権や組織の実在性を確認する選択肢も「認証」という言葉に引っ張られそうです。これは利用者のログインとは関係ないということでしょうか。
講師その通りです。これはサーバ証明書を発行するときの審査で、EV証明書などの発行審査が当てはまります。確かめている相手はWebサイトの運営組織です。ログインしようとしている利用者ではありません。
受験者整理すると、利用環境から危険度を判定して、高いときだけ追加の認証を求めているのは、いつもと違うIPアドレスやブラウザの選択肢だけですね。
講師そのとおりです。判定には、IPアドレス、端末、ブラウザ、時間帯、位置情報、利用履歴などが使われます。追加の認証には、ワンタイムパスワード、秘密の質問、SMS認証、生体認証などがあります。普段は余計な手間がかからないので、利便性と安全性を両立しやすいのが特長です。
受験者毎回複数の要素を求める多要素認証とは、どう違うのでしょうか。
講師多要素認証はログインのたびに必ず複数の要素を求めます。リスクベース認証は状況に応じて追加の認証を求めるので、考え方が別です。ただし、いつもと違うIPアドレスでも、出張先からのアクセスのように不正とは限らない場合があります。そのため誤検知への配慮も必要です。
まとめ
リスクベース認証は、認証要求のたびにIPアドレスや端末、ブラウザ、時間帯などの利用環境から不正の危険度を判定する仕組みです。危険度が高いときだけ、ワンタイムパスワードなどの追加の認証を求めます。パターン認証は端末のロック解除方法で、CAPTCHAは人間か自動プログラムかを判別する仕組みです。サーバ証明書の発行審査は、Webサイトの運営組織を確認するものです。また、毎回複数の要素を求める多要素認証とは考え方が異なり、運用では誤検知への配慮も必要です。
解答・解説
正解はイです
この問題のテーマ
リスクベース認証の定義を問う問題です。パターン認証やCAPTCHA、サーバ証明書の発行審査など、名前の似た「認証」「確認」の仕組みと区別できるかが問われています。
解き方の考え方
リスクベース認証は「リスクに応じて認証を強める」仕組みだと押さえます。そのうえで、各選択肢が利用状況の危険度を判定しているか、また誰を何のために確かめているかを見ます。利用環境の違いをきっかけに追加の認証を求めている選択肢を選べば正解にたどり着けます。
選択肢ごとの解説
- ×ア 機器の画面に表示された点を正しい順序に一筆書きでなぞった場合，認証が成功し，機器のロックが解除される。画面の点を決まった順序で一筆書きになぞるロック解除の説明は、パターン認証（パターンロック）です。なぞった軌跡を秘密情報として使う端末のロック解除方法で、利用状況の危険度によって認証方法を変えるものではありません。
- ○イ 通常とは異なるIPアドレス，Webブラウザなどから認証要求があった場合に，追加の認証を行う。普段と違うIPアドレスやWebブラウザから認証要求があったときに追加の認証を行う説明は、リスクベース認証そのものです。認証要求のたびに利用環境から不正の危険度を判定し、危険度が高い場合にだけ追加の認証を求めます。
- ×ウ 認証局が，Webサイトへのサーバ証明書発行において，サーバ証明書に記載される組織のドメイン利用権，法的及び物理的実在性を確認する。認証局がドメインの利用権や組織の法的・物理的実在性を確かめる説明は、サーバ証明書を発行するときの審査です。EV証明書などの発行審査がこれに当たります。利用者のログインを確認する仕組みではありません。
- ×エ ゆがんだ文字を含む画像を表示し，その文字が正しく入力された場合に認証が成功する。ゆがんだ文字の画像を読み取って入力させる説明は、CAPTCHAです。アクセスしてきたのが人間か自動プログラムかを見分けるための対策で、特定の利用者本人を確認するものではありません。
補足
ログインのたびに必ず複数の要素を求める多要素認証と、状況に応じて追加の認証を求めるリスクベース認証は、別の考え方です。また、いつもと違うIPアドレスからのアクセスが必ず不正とは限りません。たとえば出張先からのアクセスもあり得るため、誤検知への配慮も必要になります。
POINT
- リスクベース認証は、認証要求ごとに利用環境から不正の危険度を判定し、危険度が高いときだけ追加の認証を求める方式です。
- 判定には、IPアドレス、端末、ブラウザ、時間帯、位置情報、利用履歴などが使われます。
- 追加の認証には、ワンタイムパスワード、秘密の質問、SMS認証、生体認証などが使われます。
- 普段は追加の手間がかからないため、利便性と安全性を両立しやすい点が特長です。
- CAPTCHAは人間かプログラムかの判別、サーバ証明書の審査はWebサイト運営者の確認であり、目的がそれぞれ違います。