ITパスポート 2016年 春期 問90

認証に必要な情報の変更又は更新を定期的に行う必要がないものはどれか【ITパスポート 解説】

正解の理由

• 認証（authentication：本人であることを確認すること）
• 虹彩認証（iris recognition：目の虹彩模様を使う生体認証。生体認証＝身体的特徴で本人確認する方法）
• 電子証明書（digital certificate：公開鍵暗号を使って個人やサーバーの正当性を証明するデジタル文書。PKI＝Public Key Infrastructure：公開鍵基盤）
• パスワード（password：文字や記号の組合せで本人を識別する秘密情報）

解法ステップ

1. 問題文の条件を確認：「定期的に変更又は更新を行う必要がないもの」を選ぶ。つまり「普段から更新・再発行・ローテーションが必要か」を考える。
2. 各選択肢について「それが時間経過で更新が必要か」を判断する。
   • 虹彩認証：身体の特徴を使うため、通常は更新不要。
   • 電子証明書：有効期限があり定期的に更新（再発行）が必要。
   • パスワード：セキュリティ対策として定期変更が一般的。
3. 「更新不要」に該当するものだけを選ぶ。該当するのは虹彩認証のみなので ア が正解。

選択肢別の誤答解説

• a 虹彩認証（正解）
  • 理由：虹彩の模様は個人ごとにほぼ一生変わらず、定期的な変更が不要。生体情報は「記憶して更新する」ものではないため、一般に更新の必要がないと判断されます。
• b 電子証明書（誤り）
  • 理由：電子証明書には有効期限がある（例：1年〜数年）。期限切れ前に証明書を更新（再発行）する必要があります。また、証明書の失効（鍵漏洩など）に備えて失効リスト（CRL）やOCSPによる確認が必要で、管理・更新が必須です。
• c パスワード（誤り）
  • 理由：パスワードは盗難や推測に弱いため、組織では定期変更（例：90日ごと）をポリシーで義務付けることが多いです。パスワード更新は「定期的に行う必要がある」典型例です。

よくある誤解

1. 「生体認証は絶対に変わらない」
   • 誤解ポイント：生体情報は容易には変わりませんが、怪我や加齢、計測条件の変化で認証精度が落ちることはあります。だからと言って定期的な“更新”が常識として求められるわけではありません（運用でテンプレート改善を行う場合はある）。
2. 「電子証明書は一度発行すれば永遠に有効」
   • 誤解ポイント：証明書には必ず有効期限が設定され、期限切れで無効になります。鍵管理の観点から定期的な更新が必要です。
3. 「パスワードは複雑なら更新不要」
   • 誤解ポイント：複雑さは重要ですが、漏洩やリプレイ攻撃のリスクを減らすため、定期変更を要求する組織は多いです。最近は頻繁すぎる変更は逆効果とする意見もありますが、多くの試験問題では「定期変更が必要」と扱われます。

補足コラム

• 生体認証（虹彩、指紋、顔認証など）は「覚える」ものではなく身体に備わる特徴を使います。利点は忘れない点ですが、流出した場合の対処（取り替えが難しい）や測定環境に左右される点が課題です。
• 電子証明書はPKI（Public Key Infrastructure：公開鍵基盤）の一部で、公開鍵と秘密鍵のペアを使って本人性やサーバーの正当性を保証します。銀行やウェブサイトのHTTPSで広く使われています。
• パスワード運用は「長さ＋複雑さ」と「変更頻度」のバランスが重要です。最近のセキュリティガイドラインでは、頻繁な強制変更よりも長く複雑なパスフレーズ＋多要素認証（MFA：Multi-Factor Authentication）を推奨する傾向があります。

FAQ