ITパスポート 2015年 春期 問54

ある認証システムの特徴【ITパスポート 解説】

正解の理由

• 虹彩認証に成功すればパスワードは不要（生体認証のみでログイン）。
• 虹彩認証が連続で3回失敗した場合のみ、パスワードによる代替手段が出る。 この「生体認証がダメでもパスワードでカバーできる」仕様が利便性向上を示すため、イが正解です。

解法ステップ

1. 認証手順を順に追う：
   • 成功パス（①）：虹彩成功 → ログイン。
   • 失敗時の分岐（②③④）：虹彩3回失敗 → パスワード入力 → パスワード成功でログイン。パスワード3回失敗でロックアウト。
2. 各選択肢を認証手順に照らして検討する：
   • 利便性（生体が使えないときの代替）はあるか？ → はい（パスワードで代替）。
   • セキュリティ強化になっているか？ → 条件次第。虹彩が成功したらパスワードはチェックされないため、必ず強化されるとは言えない。
3. 正誤判断：
   • 「利便性が高い」は手順と一致する → 正。
   • 「常に安全」や「必ず強度が高い」は手順を越えた主張 → 誤。

選択肢別の誤答解説

• ア: 虹彩認証と併用しているので、パスワードの定期的な変更を行わなくても安全である。
  • 誤り。手順では虹彩認証が失敗した場合にパスワードが使われます。パスワードが実際に使われるため、パスワードの管理（定期変更や強度確保）は依然重要です。よって「変更不要」と断言できません。
• イ: 体調の変化などによって虹彩認証が失敗しても、パスワードを入力することでログインができるので、利便性が高い。
  • 正しい。虹彩認証がうまくいかない場面（暗い場所、目の変化、マスクやメガネの影響など）でもパスワードでログイン可能です。利便性が向上します。
• ウ: 本人固有の生体情報も認証に使用するので、パスワード認証だけに比べて認証の強度が高い。
  • 誤り。生体認証は通常パスワードより安全な面もありますが、このシステムでは虹彩が成功すればパスワードは不要です。逆に虹彩が失敗したときはパスワードだけでログインできるため、必ずしも「常に」強度が高いとは言えません。強度は運用ルールや具体的な実装次第です。
• エ: 万が一、虹彩認証で他人を本人と識別してしまっても、パスワード認証によってチェックすることができるので、認証の強度が高い。
  • 誤り。手順を見ると、虹彩認証に成功した時点でログインできるため、虹彩認証が誤って他人を本人と認識（偽受理）してしまうと、パスワードによる追加チェックは行われません。つまり、虹彩の誤受理はそのままログインにつながり、パスワードでの二重チェックは保証されません。

よくある誤解

1. 「生体認証があるからパスワードは不要／弱くしてもよい」
   • 誤りです。このシステムではパスワードは実際に使われます（虹彩失敗時）。パスワードの管理は依然重要です。
2. 「生体認証は誤りがない完璧な認証方式だ」
   • 誤解です。生体認証にも誤認（他人を本人と認識）や拒否（本人が認識されない）があります。特に環境や体調の影響を受けます。
3. 「虹彩認証＋パスワード＝必ず多要素認証（強い）」
   • 条件付きの切り替え（どちらか一方で通る）だと、必ずしも多要素認証（多要素認証：複数種類の認証を組み合わせることで安全性を高める仕組み）は成立しません。本当に多要素にするには、両方同時に求める必要があります。

補足コラム

• 多要素認証（MFA, Multi-Factor Authentication）について：
  • 「知識要素（something you know）：例 パスワード」
  • 「所持要素（something you have）：例 スマホやトークン」
  • 「生体要素（something you are）：例 指紋、虹彩」
  • この問題の手順は「虹彩でOK、失敗したらパスワード」という“条件付きの代替”です。両方を同時に求める方式（例：虹彩＋パスワード）なら真の多要素認証になります。
• アカウントロックアウト（ロックアウト：一定回数の認証失敗後にアカウントを一時停止する仕組み）はブルートフォース攻撃（総当たり攻撃）に対する対策ですが、しきい値や解除手順は慎重に設計しないと正当な利用者を締め出したり、サービス妨害（DoS）につながる恐れがあります。

FAQ