認証技術 — パスワードから二要素認証・パスキーへ

導入

SNSにログインするとき、パスワードを入力するだけでなくスマートフォンへの確認コードを求められた経験はないでしょうか。あるいは、スマートフォンのロック解除に顔認証や指紋認証を使っている方も多いかもしれません。こうした「本人であることを確認する仕組み」が認証技術です。パスワードだけの時代から生体認証・パスキーへと進化する流れを、試験対策の視点で確認していきます。

くわしく知ろう

認証（Authentication）とは、システムにアクセスしようとしている人物が、本当に本人であるかどうかを確認する仕組みを指します。最も古典的な認証方式がパスワード認証で、「本人だけが知っているはずの文字列」を入力させることで本人確認を行います。しかし、パスワードは他人に推測されたり、フィッシング詐欺で盗まれたりするリスクがあるため、単独では安全性が十分とはいえない状況になっています。

こうした課題に対応するために広まったのが多要素認証（MFA：Multi-Factor Authentication）です。認証の要素は大きく3種類に分類されます。まず「知識情報」はパスワードや暗証番号のように「本人だけが知っていること」、次に「所持情報」はスマートフォンやICカードのように「本人だけが持っているもの」、そして「生体情報」は指紋・顔・虹彩のように「本人の身体的特徴」です。これら3種類のうち2種類以上を組み合わせる方式が二要素認証（2FA）として広く普及しています。

生体認証（バイオメトリクス認証）は、指紋・顔・静脈などの身体的特徴を使って本人確認を行う方式です。パスワードのように忘れたり盗まれたりするリスクが少ない一方、生体情報は変更できないため、一度漏えいすると取り返しがつかないという特性があります。

近年注目を集めているのがパスキー（Passkey）です。パスキーは公開鍵暗号方式（デバイスが秘密鍵を保持し、サーバーには公開鍵のみを登録する仕組み）を利用した認証技術で、パスワードをまったく使わずにログインできます。フィッシング詐欺に強く、パスワードの使い回しリスクもないため、次世代の認証標準として注目されています。

具体例

たとえば、インターネットバンキングでは「パスワード（知識情報）＋スマートフォンに届くワンタイムパスワード（所持情報）」という二要素認証が標準的に採用されています。万が一パスワードが漏えいしても、もう一方の要素がなければ不正ログインを防ぐことができます。一方、iPhoneやAndroidスマートフォンのロック解除に使われる顔認証・指紋認証は生体認証の代表例で、パスワードを入力する手間なく高いセキュリティを実現しています。最近ではGoogleやAppleがパスキーへの対応を進めており、パスワードなしでサービスにログインできる環境が整いつつあります。

まとめ・試験ポイント

• 認証の3要素＝知識情報（パスワード）・所持情報（スマホ/ICカード）・生体情報（指紋/顔）
• 二要素認証（2FA）＝3要素のうち2種類以上を組み合わせた認証方式
• 多要素認証（MFA）＝二要素認証を含む、複数要素を使う認証の総称
• 生体認証（バイオメトリクス）＝身体的特徴を利用、変更不可という特性に注意
• パスキー＝公開鍵暗号方式を使いパスワード不要でログインできる次世代認証
• 試験では「二要素認証の組み合わせ例」と「各要素の分類」がよく問われる