ITパスポート 2020年 秋期 問86

二要素認証の説明として、最も適切なものはどれか。【ITパスポート 解説】

正解の理由

• 二要素認証は「二つの異なる認証要素を組み合わせる方式」です。英語では two-factor authentication（2FA：two-factor authentication）と言います。
• 認証要素の代表は次の3つです。
  • 知識（something you know）＝ パスワードやPINなど、利用者が「知っている」情報。これを本文では「記憶」と表現しています。
  • 所有（something you have）＝ トークンやスマホ、ICカードなど「持っている」もの。本文では「所有物」。
  • 生体（something you are）＝ 指紋や顔など「その人固有」の特徴。本文では「生体情報」。
• 二要素認証は、この3種類のうち異なるカテゴリを2つ組み合わせます。したがって「3種類のうち2種類を使用して認証する方式」という ア の記述が最も正確です。

解法ステップ

1. 問題文のキーワードを確認：「二要素認証」→ 2つの「要素（種類）」を使う認証方式かを確認する。
2. 認証要素の分類を思い出す：知識（記憶）、所有（所有物）、生体（生体情報）。
3. 各選択肢が「どの要素を指しているか」「要素の数や組み合わせが正しいか」を検証する。
4. 「同じ種類を2つ使う」「複数サービスの利用を指す」など、本来の定義と違う記述は除外する。
5. 最も定義に合う選択肢を選ぶ（この場合は ア）。

選択肢別の誤答解説

• ア：正しい。知識（記憶）、所有（所有物）、生体（生体情報）のうち異なる2つのカテゴリを組み合わせる説明で、二要素認証の定義に一致する。
• イ：誤り。これは生体認証（biometric authentication：指紋や顔など個人の身体的特徴を使う認証）についての記述に見えますが、「認証情報の2か所以上の特徴点を使用して認証する方式」とあるのは、生体認証内部の認識精度やマッチング方法の話であり、二要素認証の定義ではありません。生体認証は一つの要素（生体）なので、たとえ特徴点を複数使っても単一要素です。
• ウ：誤り。「文字、数字及び記号のうち2種類以上を組み合わせたパスワード」を使う方式は、パスワードの複雑さの話であり、単に「知識」の要素だけです。異なる要素（例えば所有物や生体）と組み合わせなければ二要素にはなりません。
• エ：誤り。これは SSO（Single Sign-On：一度認証すれば複数のシステムやサービスに接続できる仕組み）に関する説明です。SSOは利便性の話であり、二要素認証の定義（認証要素を2つ使うこと）とは別物です。

よくある誤解

1. 「二要素＝2つの情報（例：パスワード2つ）」と考える誤解
   • 同じ種類（知識×知識）の組合せは二要素認証になりません。重要なのは「種類（カテゴリ）が異なるかどうか」です。
2. 「複数の生体特徴を使えば二要素になる」と思う誤解
   • 指紋と顔の両方を使っても、どちらも生体（inherence）に属するため単一要素です。別のカテゴリ（例：パスワードやワンタイムトークン）と組み合わせる必要があります。
3. 「SMSで届くコードは完全に安全」と過信する誤解
   • SMSは利便性が高いですが、SIMスワップや盗聴のリスクがあります。より安全な方法（認証アプリやセキュリティキー）を併用することが望ましい場合があります。

補足コラム

• 用語整理：
  • ワンタイムパスワード（OTP：one-time password）：一度だけ使える使い捨てパスワード。所有要素（認証アプリやトークン）から生成されることが多いです。
  • TOTP（Time-based One-Time Password）：時間で変わるOTP（例：認証アプリの6桁コード）。
  • FIDO2 / WebAuthn：ハードウェアキーやデバイス内の秘密鍵を使う最新の認証方式で、パスワードを使わない多要素認証の実現に役立ちます。
• 実務でよく見る二要素の組合せ例：
  • パスワード（知識）＋SMS/認証アプリのコード（所有）
  • パスワード（知識）＋指紋（生体）
  • セキュリティカード（所有）＋暗証番号（知識）
• セキュリティと利便性はトレードオフになります。重要なシステムほど多要素（MFA：multi-factor authentication）を採用します。

FAQ