わかりやすく 認証 とは

ログインは本人であることを証明する関門

前の二つのレッスンでは、パスワードを安全に保存する方法を見ました。今回は、そのパスワードが使われる場面、ログインをのぞいてみます。扉を守るには、止める前にまず問うべきことがあります。いま扉の前に立っている人は誰なのか、ということです。
持ち主なら中に入れ、知らない人なら止めなければなりません。そこで、入ってくる人ごとに本当にその人かを問う関門を置きます。この関門がログインで、ここで本人であることを示すのが認証です。

扉の前に立っている人を押して、誰なのかを確かめてみましょう。認証を通った人だけが中に入れます。

確かめられた人だけが中に入りました。では、誰なのかは何で示せばよいのでしょうか。名前を名乗るだけなら誰でもまねできるので、名前だけでは足りません。本人にしか出せない証拠が必要です。
そうした証拠は、大きく三つに分かれます。一つずつ見ていきましょう。

知っているもの、持っているもの、自分自身の特徴

本人であることを示す証拠には三つの種類があります。一つ目は知っているものです。パスワードや暗証番号のように、頭の中だけにある情報です。二つ目は持っているものです。スマートフォンやセキュリティキー、通行証のように、手に持つ物です。三つ目は自分自身の特徴です。指紋や顔のように、体についているものです。
三つは弱点もそれぞれ違います。知っているものは忘れたり他人にもれたりし、持っているものはなくしたり盗まれたりします。体の特徴はいつも身についていますが、一度複製されると、パスワードのように新しく変えることができません。

三つの要素を一つずつ押して開いてみましょう。要素ごとに強みと弱みが表示されます。

三つの要素は、それぞれ違う弱点を持っていました。だから、一つだけを信じるのは危ういのです。パスワード一つだけを使っていて、それがもれれば、他人がそのまま本人のふりをできてしまいます。
もっと固く守る方法はかんたんです。種類の違う要素を二つ以上いっしょに求めればよいのです。

何重にも重ねると安全になる

扉に錠を一つしかつけなければ、その鍵を手に入れた人は誰でも開けられます。錠を二つつけて、違う鍵で両方を開けなければならないなら、一つをなくしても、もう一つが止めてくれます。認証も同じです。
パスワード(知っているもの)を入れたうえに、自分のスマートフォン(持っているもの)でも確かめるようにすれば、パスワードがもれてもスマートフォンを持たない人は入れません。このように種類の違う要素を重ねて求めることを、多要素認証と呼びます。パスワードを二つ求めるのは同じ種類を重ねただけなので、多要素認証にはなりません。

要素を一つだけ使うときと、二つ重ねるときを押して、安全度を比べてみましょう。

一重のときより二重のときのほうが、ずっと破りにくくなりました。攻撃者はパスワードを知ったうえに、スマートフォンまで手に入れなければならず、二つを同時にそろえるのはずっとまれだからです。だから銀行のように大事なところほど、何重もの確認を求めます。
ただし、ショートメッセージで届く確認コードは、電話番号を乗っ取る手口で破られることもあるので、認証アプリやセキュリティキーのほうが固い守りになります。そして、中に入れたあとにもまだやることがあります。入れたからといって、何をしてもよいわけではないからです。

誰なのかと、何ができるのかは違う

会社の建物に入ったとしましょう。通行証で、自分が社員であることは証明しました。これが認証です。けれども、社員だからといって、すべての部屋に入れるわけではありません。金庫室には、特別に許された人しか入れません。
このように、確かめられた人が何をできるかを決めることを、認可(権限の付与)と呼びます。認証は誰なのかを問い、認可はそのあとで何をしてよいかを決めます。権限は、必要ならいつでも取り上げられます。

まず認証で社員であることを確かめてから、部屋を押して入る権限をつけたり消したりしてみましょう。すべての権限をいっぺんに取り上げることもできます。

誰なのかを確かめることと、何をしてよいかを決めることは、別々に動きました。同じ人に権限を増やすことも、取り上げることもできました。オペレーティングシステムも利用者ごとにできることを決めていて、ウェブサービスでも一般会員と管理者が使える機能を分けています。
二つを分けておけば、誰が入ってきたかと、その人が何に触れられるかを別々に管理できます。たとえ認証が破られても、そのアカウントの権限が小さければ、被害も小さくてすみます。

まとめ

まとめるとこうです。認証は本人であることを証明することで、証明の材料は、知っているもの、持っているもの、自分自身の特徴の三つです。一つだけでは弱いので、種類の違う要素を重ねると安全になります。これが多要素認証です。
そして、認証と認可は違います。認証は誰なのかを問い、認可は何ができるかを決めます。

要点を順に押して振り返りましょう。(本人であることを証明 → 知っているもの・持っているもの・自分自身の特徴 → 何重にも重ねる多要素認証 → 認証と認可は違う)

これで、扉の前の警備員が何をしているのかが、すみずみまでわかりました。誰なのかを見分け、何重にも固く確かめ、中で何に触れてよいかまで別に決めています。
けれども、扉を通ったあとにやりとりするメッセージは、やはり見知らぬ道を通っていきます。そのメッセージを途中で誰にも読ませない方法、暗号化を次のレッスンで扱います。