ITパスポート 2022年 問37

ログイン処理（利用者IDとパスワード照合）の機能判定【ITパスポート 解説】

正解の理由

• この処理は「認証（authentication：本人かどうかを確認すること）」の実行を表しています。認証はアクセス制御の一部であり、システムが利用者を識別しアクセスを許可するか否かを決めます。よってアクセス制御を実現する例として正しい説明となります。

解法ステップ

1. 問題文から動作を抽出する
   • ログイン画面を表示、利用者IDとパスワードの入力、登録情報と一致するかの判定、遷移またはエラーメッセージ。
2. キーワードで分類する
   • 「本人確認を行う」「一致しなければアクセスを許可しない」→ 認証・アクセス制御に関係。
3. 選択肢と照合する
   • 「システムによるアクセス制御（アクションの可否を決める）」が該当するかを確認。
4. 他の選択肢と除外法で比較する
   • 障害検知、権限付与、パスワードの妥当性確認とは目的が異なるため不適切と判断。

選択肢別の誤答解説

• ア: システム障害の検知
  • 説明文は「利用者の認証処理」を示しています。システム障害の検知はログの監視や例外検出などで、今回の「IDとパスワードの照合」とは目的が異なります。
• イ: システムによるアクセス制御
  • 正解。入力されたIDとパスワードを照合し、合致すれば業務画面へ、合致しなければアクセスを拒否する処理はアクセス制御（認証を含む）そのものです。
• ウ: 利用者に対するアクセス権の付与
  • 「付与（granting）」は利用者にどの機能やデータにアクセスできるかを設定する行為です。今回の処理は「付与」そのものではなく、既にある情報で本人か否かを判断してアクセスを許可／拒否する「認証」です。権限の割当て（ロール設定など）とは異なります。
• エ: 利用者のパスワード設定の妥当性の確認
  • 妥当性確認は「パスワードの長さや複雑さを評価する」ような処理を指します。今回の処理は既存の登録情報と入力値の一致確認であり、パスワードの強度チェックではありません。

よくある誤解

1. 認証（authentication）と認可（authorization）を混同する
   • 認証は「本人かどうかの確認」です。認可は「認証済みの人が何をできるか（アクセス権）」を決めることです。ログイン処理は主に認証に当たります。
2. ログインエラー＝セキュリティ対策全般ではない
   • ログインで一致しなければ拒否するのは基本対策ですが、パスワード強度チェック、多要素認証（MFA: Multi-Factor Authentication）やアカウントロックなど別の対策も必要です。
3. 「アクセス権の付与」と同じだと思いやすい
   • 問題にある処理は「既存の情報で判断する」操作であり、新たに権限を与える操作（管理者がユーザに権限を設定する）は別の処理です。

補足コラム

• 認証と認可の身近な例え
  • 会社の入退室カードを例にすると、カードをかざして本人確認ができれば扉が開くのは「認証」（あなたが社員かどうかの確認）。開いた後に「そのフロアに入れるか」「サーバ室に入れるか」を決めるのが「認可」です。問題文はカードの照合に相当します。
• 実務での関連技術（簡単に）
  • ハッシュ化（hashing：元のパスワードを戻せない形に変換する処理）でデータベースにパスワードを保存します。これにより盗まれても元のパスワードが分かりにくくなります。
  • 多要素認証（MFA）は「知っていること（パスワード）」に加え「持っているもの（スマホ）」や「本人の特徴（指紋）」を使ってより強い認証を実現します。

FAQ