情報セキュリティマネジメント 2017年春期午前（科目A）問18

問題文

2要素認証に該当する組みはどれか。

🖊️ 解答を隠して解いてみる

選択肢

ア：クライアント証明書、ハードウェアトークン

イ：静脈認証、指紋認証

ウ：パスワード認証、静脈認証（正解）

エ：パスワード認証、秘密の質問の答え

🔒 解説は解答すると表示されます

二要素認証の組合せ【情報セキュリティマネジメント解説】

正解の理由

二要素認証とは、異なる「認証要素」を2種類組み合わせて本人確認する仕組みです。認証要素は主に次の3種類に分類されます：知識要素（Knowledge：知っているもの）、所持要素（Possession：持っているもの）、生体要素（Inherence：本人の身体的特徴）。
選択肢の中で、パスワード認証は「知識要素」、静脈認証は「生体要素」です。つまり異なるカテゴリが組み合わさっているため、ウが二要素認証に該当します。

※用語補足：

パスワード（知っている情報）
静脈認証（生体認証：身体の静脈パターンで本人を確認する方法）

解法ステップ

各認証手段を「知識」「所持」「生体」のどれに当てはめるか分類する。
同じカテゴリ同士の組み合わせなら多要素ではない（要素が1種類）。異なるカテゴリなら二要素（または多要素）となる。
選択肢ごとに当てはめて、異なるカテゴリの組があるか確認する。

具体的には：

パスワード → 知識要素
静脈・指紋など → 生体要素
ハードウェアトークン・クライアント証明書 → 所持要素（通常）

これでウが二要素であると判断できます。

選択肢別の誤答解説

ア: クライアント証明書、ハードウェアトークン
どちらも原則として「所持要素（持っているもの）」に分類されます。所持＋所持で、異なる要素にならないため二要素認証には該当しません。
補足：クライアント証明書が端末内の秘密鍵で、トークンが別物理装置であっても、要素の観点では同じ「所持」扱いです。
イ: 静脈認証、指紋認証
両方とも「生体要素（身体的特徴）」です。生体＋生体は同一カテゴリなので二要素とは言えません。
ウ: パスワード認証、静脈認証
パスワード＝知識、静脈＝生体で異なる2つの要素です。したがって二要素認証に該当します。
エ: パスワード認証、秘密の質問の答え
どちらも「知識要素」です。知っている情報同士の組合せは二要素ではありません。また、秘密の質問は推測や調査で突破されやすく実践上は脆弱です。

よくある誤解

「生体認証を2つ組み合わせれば二要素になる」→誤り。指紋＋静脈は両方生体で、カテゴリが同じなので二要素にはならない。
「クライアント証明書は常に別要素になる」→状況次第。証明書が端末のみで保管され、かつ別途PIN等が必要なら「所持＋知識」で多要素となることもあるが、単体では所持要素に分類される。
「秘密の質問は二要素の一部になる」→同じ知識要素なので認証強化には限界がある。使っても追加の保護にはほとんどならない。

補足コラム

実務では「パスワード＋ワンタイムパスワード（OTP）」や「パスワード＋生体認証」がよく使われます。OTPはハードウェアトークンやスマホアプリで生成する一時パスワードで、所持要素に該当します。二要素はパスワードだけの突破（漏洩や推測）を補うために用いますが、運用ではユーザの利便性やバックアップ（端末紛失時の対応）も考慮が必要です。

職場でのイメージ：社員はまずパスワードを入力し、続けて指紋や静脈の認証機器に触れる。どちらか一方だけでログインできない仕組みにすることで不正ログインのリスクを下げます。

FAQ

Q: 秘密の質問は使っていいですか？
A: 単独での追加は推奨されません。回答がSNSや公開情報から推測されやすく、知識要素同士の組合せでは保護効果が低いです。

Q: クライアント証明書はどの要素ですか？
A: 原則「所持要素（持っているもの）」です。証明書が安全なトークンやスマートカードに入っている場合、所持として扱います。PINで保護されているときは所持＋知識の複合となる場合があります。

Q: 指紋と静脈、どちらが安全ですか？
A: 一般に静脈認証は皮膚下の特徴を使うため、指紋より偽造が難しいと言われます。ただし、どちらも生体要素であり、単独では二要素の代替になりません。

関連キーワード: 二要素認証、認証要素、知識要素、所持要素、生体認証、ハードウェアトークン、クライアント証明書、ワンタイムパスワード、秘密の質問、認証強化

← 前の問題へこの年度をクイズで解く次の問題へ →

\ せっかくなら /

情報セキュリティマネジメントを
クイズ形式で学習しませんか？

クイズ画面へ遷移する→

すぐに利用可能！