ITパスポート 2022年 問82
問題文
A社では、従業員の利用者IDとパスワードを用いて社内システムの利用者認証を行っている。セキュリティを強化するために、このシステムに新たな認証機能を一つ追加することにした。認証機能a～cのうち、このシステムに追加することによって、二要素認証になる機能だけを全て挙げたものはどれか。
a A社の従業員証として本人に支給しているICカードを読み取る認証
b あらかじめシステムに登録しておいた本人しか知らない秘密の質問に対する答えを入力させる認証
c あらかじめシステムに登録しておいた本人の顔の特徴と、認証時にカメラで読み取った顔の特徴を照合する認証
選択肢
ア：a
イ：a, b, c
ウ：a, c（正解）
エ：b, c
🔒 解説は解答すると表示されます
二要素認証になる認証機能の選択【ITパスポート 解説】
正解の理由
A社のシステムは現在、従業員の利用者IDとパスワードで認証しています。利用者IDとパスワードはいずれも「知っているもの（知識）」に当たります。認証の強度を上げて「二要素認証（Two-Factor Authentication：2FA。2つの異なる種類の認証要素を組み合わせること）」にするには、今ある知識要素に対して、別の種類の要素を追加する必要があります。
認証要素の種類は主に次の3つです。
- 知識（something you know）：パスワードや秘密の質問の答え
- 所持（something you have）：ICカードやスマートフォンなど手元にあるもの
- 生体（something you are）：顔・指紋など本人の身体的特徴（生体認証）
選択肢a（ICカード）は「所持」に当たり、c（顔認証）は「生体」に当たります。どちらも現在の「知識」要素と組み合わせれば、確実に二要素認証になります。一方、選択肢b（秘密の質問）は「知識」要素なので、ID＋パスワード（同じく知識）にさらにbを加えても異なる種類にならず、二要素認証とはなりません。
したがって、正しい組み合わせは選択肢ウ（a と c）です。
解法ステップ
- 現在の認証方式の要素を確認する（ID＋パスワード＝「知識」）。
- 各追加案がどの認証要素に該当するかを分類する（知識／所持／生体）。
- 既存の「知識」と異なる種類の要素が含まれているものだけを選ぶ。
- 異なる種類の要素が含まれる組合せを選ぶ（a と c が該当）。
選択肢別の誤答解説
-
ア: a
解説：a（ICカード）は適切ですが、選択肢アはaのみ。問題は「二要素認証になる機能だけを全て挙げたもの」を問うており、c（顔認証）も二要素にできるためaのみでは不完全です。 -
イ: a, b, c
解説：b（秘密の質問）は「知識」に該当します。既にIDとパスワードが「知識」なので、bを加えても異なる種類は増えず、二要素認証にはならないため不適切です。 -
ウ: a, c
解説：aは「所持」、cは「生体」。どちらも既存の「知識」と組み合わせることで、確実に二要素認証（知識＋所持、または知識＋生体）になります。よって正しい組合せです。 -
エ: b, c
解説：cは有効ですが、bは「知識」なのでID＋パスワード（知識）と組み合わせても二要素になりません。bを含む選択肢は不適切です。
よくある誤解
-
「パスワードを2回聞けば二要素になる」
説明：同じ種類（知識）を2つ使っても二要素にはなりません。重要なのは「種類が異なること」です。 -
「顔認証は簡単に突破されるから役に立たない」
説明：生体認証にも精度差や偽装（写真やマスク）対策の程度があります。完全ではないものの、知識だけよりは確実に強化になります。 -
「スマホに届くワンタイムパスワード（OTP）は安全とは限らない」
説明：OTPは一般に「所持要素（スマホ）」として扱われますが、SMSの傍受などリスクもあるため、セキュリティレベルは実装方法で変わります。
補足コラム
- 秘密の質問（例：「母の旧姓は？」）は覚えやすい反面、SNSや公開情報から推測されやすく、脆弱です。重要システムの二要素目としては避けるべきです。
- 企業でよく使われる二要素の組み合わせ例：
- パスワード（知識）＋ICカード（所持）
- パスワード（知識）＋ワンタイムパスワード（所持：スマホ）
- パスワード（知識）＋指紋／顔（生体）
- 多要素認証（Multi-Factor Authentication：MFA）は、二要素以上を組み合わせる考え方です。セキュリティ要求に応じて二要素以上にすることもあります。
FAQ
Q1: 秘密の質問を追加すれば安全になるのでは？
A1: 同種類（知識）を増やしても、攻撃者が情報を入手できれば突破されやすいです。代わりに所持（ICカード）や生体（顔、指紋）を組み合わせる方が効果的です。
A1: 同種類（知識）を増やしても、攻撃者が情報を入手できれば突破されやすいです。代わりに所持（ICカード）や生体（顔、指紋）を組み合わせる方が効果的です。
Q2: 顔認証はどの程度安全ですか？
A2: 顔認証は利便性が高く、一般的には安全性向上に寄与します。ただし、精度や偽装対策（深度検知など）により安全性は変わります。機密性が非常に高い場面では追加措置が必要です。
A2: 顔認証は利便性が高く、一般的には安全性向上に寄与します。ただし、精度や偽装対策（深度検知など）により安全性は変わります。機密性が非常に高い場面では追加措置が必要です。
Q3: スマホのワンタイムパスワードは「所持」要素ですか？
A3: はい。スマホに届くOTPや認証アプリのコードは「所持（something you have）」に分類されます。ただし、SMSは盗聴のリスクがあるため認証アプリやハードウェアトークンの方が安全です。
A3: はい。スマホに届くOTPや認証アプリのコードは「所持（something you have）」に分類されます。ただし、SMSは盗聴のリスクがあるため認証アプリやハードウェアトークンの方が安全です。
関連キーワード: 二要素認証、認証要素、所持認証、知識認証、生体認証、ICカード、秘密の質問、ワンタイムパスワード、なりすまし防止
\ せっかくなら /
ITパスポートを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！