ITパスポート 2013年 春期 問58

システムの利用者認証技術に関する記述【ITパスポート 解説】

正解の理由

解法ステップ

1. 各選択肢のキーワード（チャレンジレスポンス、シングルサインオン、バイオメトリクス、ワンタイムパスワード）を確認する。
2. それぞれの用語の意味を簡単に思い出す（または連想する）。
3. 用語の定義と選択肢の説明が合っているか照らし合わせ、合致するものを選ぶ。
   • 「一度しか使えない」はワンタイムパスワードの特徴そのものなので、ここで正しいと判断できる。

選択肢別の誤答解説

• ア: 「一度の認証で、許可されている複数のサーバやアプリケーションなどを利用できる仕組みをチャレンジレスポンス認証という。」
  • 誤りです。複数のサービスを一度の認証で利用できる仕組みはシングルサインオン（SSO：Single Sign-On）です。
  • チャレンジレスポンス認証（challenge-response authentication）は、サーバが送る「チャレンジ（問い）」に対し、利用者が正しい「レスポンス（応答）」を返すことで本人を確認する方式です。パスワードをそのまま送らずに応答を計算するため、盗聴対策になります。
• イ: 「指紋や声紋など、身体的な特徴を利用して本人認証を行う仕組みをシングルサインオンという。」
  • 誤りです。指紋や声紋はバイオメトリクス認証（biometrics authentication：身体的・行動的特徴を使う認証）です。
  • シングルサインオン（SSO）は、複数のサービスに対して一度のログインでアクセスできる仕組みを指します。生体認証とSSOは別の概念で、組み合わせて使うことはありますが同義ではありません。
• ウ: 「特定の数字や文字の並びではなく、位置についての情報を覚え、認証時には画面に表示された表の中で、自分が覚えている位置に並んでいる数字や文字をパスワードとして入力する方式をバイオメトリクス認証という。」
  • 誤りです。説明されている方式は「位置情報を使うパスワード」（例えばグラフィカルパスワードや位置ベースの認証）であり、バイオメトリクス認証（指紋・顔・声など身体的特徴を用いる）は別物です。
  • バイオメトリクスは体の特徴を測定して本人確認する方式で、画面上の位置を覚える方式とは本質が異なります。
• エ: 「認証のために一度しか使えないパスワードのことをワンタイムパスワードという。」
  • 正しいです。ワンタイムパスワード（OTP：One-Time Password）はその名の通り使い捨てのパスワードで、時間や利用回数の制限が付くことで再利用や盗用のリスクを低減します。

よくある誤解

1. SSO（Single Sign-On）と生体認証（バイオメトリクス）を混同する
   • SSOは「複数サービスへの一度のログイン」、バイオメトリクスは「本人の身体的特徴を使う認証」です。別の技術で、組み合わせて使う場合がありますが同じものではありません。
2. チャレンジレスポンス認証とワンタイムパスワードを同じと考える
   • どちらも盗聴対策に使われますが、仕組みが違います。チャレンジレスポンスは「サーバからの問いに応答する方式」、OTPは「その場限りの使い捨てパスワード」です。組み合わせることもありますが、同義ではありません。
3. OTPは万能ではない
   • 「一度だけ使える」ため安全性が高いですが、配信経路（SMSなど）が安全でないと盗まれることがあります。運用方法による弱点を理解することが重要です。

補足コラム

• OTPの種類
  • TOTP（Time-Based One-Time Password：時間同期型）：一定時間（例30秒）ごとに変わるワンタイムパスワード。スマホアプリ（Google Authenticatorなど）でよく使われます。
  • HOTP（HMAC-based One-Time Password：カウンタ型）：サーバと端末でカウンタを同期して生成する方式。
• 配布方法の違いと注意点
  • SMSで送るOTPは利便性が高い一方、キャリア乗っ取りや盗聴で危険になる場合があります。アプリ型（TOTP）やハードウェアトークンの方が安全性は高いとされます。
• 実務での使い方
  • 高い安全性が求められる場面では、パスワード（知識要素）＋OTPやバイオメトリクス（所有要素・生体要素）を組み合わせた多要素認証（MFA：Multi-Factor Authentication）を推奨します。

FAQ