基礎概念

認証

Authentication

定義

認証とは「通信相手が本当に名乗っている人物・システムであることを確認するプロセス」で、「何ができるか」を判定する認可（Authorization）とは別の概念です。認証の3要素は「知識要素（パスワード・PINなど知っているもの）」「所持要素（スマートフォン・ハードウェアキーなど持っているもの）」「生体要素（指紋・顔・声紋など自分自身の特徴）」に分類されます。2つ以上の要素を組み合わせる多要素認証（MFA）は、単一要素に比べてアカウント乗っ取りリスクを大幅に下げます（Microsoftの調査では約99.9%の侵害を防止するとされています）。認証に成功した後、「そのユーザーがどのリソースに何をできるか」を判定するのが認可（Authorization）です。混同しがちな2つの概念ですが、設計の段階から明確に分けておくことがセキュリティの基本です。最新の認証技術であるパスキー（FIDO2）はパスワードを使わずにフィッシング耐性の高い認証を実現しています。