リスクベース認証の見分け方と、ほかの認証方式との違い
情報セキュリティマネジメント試験 2022年 サンプル問題 問24 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
リスクベース認証に該当するものはどれか。
- ア
インターネットバンキングでの取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。
- イ
全てのアクセスに対し，トークンで生成されたワンタイムパスワードを入力させて認証する。
- ウ
利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。
- エ
利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。
会話形式の解説
講師今回はリスクベース認証がテーマです。選択肢には認証方式の説明が4つ並んでいます。どれも安全そうに見えますが、状況によって認証の強さを変えているかどうかを見てください。
受験者私は「リスク」という言葉から、いちばん厳しそうなものを選びたくなりました。記憶、持ち物、身体の特徴のうち二つ以上を必ず組み合わせる方式が、いちばん安全に見えます。
講師安全性は高い方式です。ただ、その説明は多要素認証のものです。認証の要素をどう組み合わせるかを述べているだけで、リスクに応じて認証を変える話にはなっていません。
受験者では、リスクベース認証は何によって決まるのですか。
講師アクセスのたびに利用環境や行動を分析して、いつもと違い、リスクが高いと判断したときだけ追加の認証を求める方式です。分析するのは、IPアドレスや利用しているOS、Webブラウザといった環境です。
受験者それなら、IPアドレスなどを分析して、いつもと違うネットワークからのアクセスにだけ追加の認証をするという選択肢がそのまま当てはまりますね。
講師はい、それが正解です。普段どおりのアクセスでは利用者の手間を増やさず、怪しいアクセスのときだけ確認を厳しくできます。利便性を保ったまま安全性を高められるのが利点です。
受験者トークンのワンタイムパスワードを入力させる選択肢で少し迷いました。ワンタイムパスワードはリスクベース認証でも使われると聞いたことがあります。
講師そこは紛らわしいところです。リスクベース認証の追加の認証に、ワンタイムパスワードや秘密の質問が使われることは実際にあります。ただ、この選択肢は「全てのアクセス」に一律で求めています。これはワンタイムパスワード認証そのものの説明です。
受験者使っている手段ではなく、いつ追加の認証を求めるかで見分けるのですね。インターネットバンキングで乱数表のマス目の英数字を入力させる選択肢も、同じように判断できますか。
講師できます。それはマトリクス認証、つまり乱数表を使う認証の説明です。取引のたびに同じ手順を求めているので、アクセスの状況からリスクを判断する仕組みではありません。
受験者整理すると、乱数表はマトリクス認証、全てのアクセスにトークンを求めるのはワンタイムパスワード認証、二つ以上の要素を組み合わせるのは多要素認証です。普段と違うときだけ追加するのがリスクベース認証、ということですね。
講師そのとおりです。この問題では、「全てのアクセスに」や「必ず」と一律に求めている選択肢は、状況に応じて認証を変えるリスクベース認証には当たりません。ワンタイムパスワードという言葉が出てきただけで飛びつかず、認証を求める条件を確かめるようにしてください。
まとめ
リスクベース認証は、アクセスのたびにIPアドレスやOS、Webブラウザなどの利用環境を分析し、普段と違ってリスクが高いと判断したときだけ追加の認証を求める方式です。普段どおりのアクセスでは手間を増やさないので、利便性を保ちながら安全性を高められます。乱数表の英数字を入力させるのはマトリクス認証、全てのアクセスにトークンのワンタイムパスワードを求めるのはワンタイムパスワード認証、二つ以上の要素を必ず組み合わせるのは多要素認証です。ワンタイムパスワードは追加の認証の手段としても使われるため、手段ではなく「いつ追加の認証を求めるか」で見分けることが大切です。
解答・解説
正解はウです
この問題のテーマ
リスクベース認証とはどのような方式かを問い、マトリクス認証・ワンタイムパスワード・多要素認証との違いを見分けられるかを確かめる問題です。
解き方の考え方
リスクベース認証のポイントは、アクセスのたびに利用環境や行動を分析し、いつもと違ってリスクが高いと判断したときだけ追加の認証を求めることです。各選択肢について、「状況に応じて認証の強さを変えているか」を確かめます。全てのアクセスに同じ手順を求めているものや、要素の組み合わせ方だけを述べているものは、リスクベース認証には当たりません。
選択肢ごとの解説
- ×ア インターネットバンキングでの取引において，取引の都度，乱数表の指定したマス目にある英数字を入力させて認証する。乱数表の指定されたマス目の英数字を入力させる説明は、マトリクス認証（乱数表を使う認証）にあたります。取引のたびに同じ手順を求めており、アクセスの状況からリスクを判断して認証を変える仕組みではありません。
- ×イ 全てのアクセスに対し，トークンで生成されたワンタイムパスワードを入力させて認証する。トークンのワンタイムパスワードを「全てのアクセス」に求める説明は、ワンタイムパスワード認証そのものです。リスクベース認証では、普段と違う環境からのアクセスに限って追加の認証を行います。一律に要求している点が合いません。
- ○ウ 利用者のIPアドレスなどの環境を分析し，いつもと異なるネットワークからのアクセスに対して追加の認証を行う。IPアドレスなどの利用環境を分析し、いつもと違うネットワークからのアクセスにだけ追加の認証を行うという説明は、リスクベース認証の定義にそのまま当てはまります。普段どおりのアクセスでは負担を増やさず、怪しいアクセスでは確認を厳しくできます。
- ×エ 利用者の記憶，持ち物，身体の特徴のうち，必ず二つ以上の方式を組み合わせて認証する。記憶・持ち物・身体の特徴のうち二つ以上を必ず組み合わせる説明は、多要素認証の説明です。認証の要素をどう組み合わせるかの話であり、リスクに応じて認証を変える方式ではありません。
補足
リスクベース認証で追加の認証に使われる手段には、ワンタイムパスワードや秘密の質問などがあります。そのため、選択肢にワンタイムパスワードが出てきただけで正解と判断しないよう注意が必要です。見分けるポイントは、使う手段ではなく「いつ追加の認証を求めるか」です。
POINT
- リスクベース認証は、利用者の環境や行動を分析し、普段と違うアクセスにだけ追加の認証を求める方式です。
- 分析の対象には、IPアドレスや利用しているOS、Webブラウザなどの利用環境が含まれます。
- リスクが高いときだけ追加の認証をするので、利便性を保ちながら安全性を高められます。
- 「全てのアクセスに」「必ず」のように一律に求める説明は、リスクベース認証ではないと判断できます。