本人確認の認証方式

認証とは、利用者や機器が主張する識別情報が本人のものであるかを確かめる行為である。その方式は、本人だけが知っている情報（知識）、本人だけが持つ物（所持）、本人の身体的特徴（生体）の三つに大別される。試験では、それぞれの方式の仕組みと、その方式に対する攻撃手法との対応関係が繰り返し問われる。

知識と所持による認証

固定パスワードは知識による認証の代表例である。パスワードを通信路で送る方式では、TLSで通信路を保護しても、認証のたびに同じ値が送られる点は変わらない。TLSは盗聴や改ざんを防ぐ仕組みであり、パスワードの再利用そのものを防ぐ仕組みではないと区別する必要がある。

所持による認証では、ICカードやトークンなど本人が持つ物を使う。ICカードには接触型と非接触型があり、接触型は接点を通じて電力を受け取るのに対し、非接触型はコイルの誘導起電力を利用して動作する。両者の違いを正しく説明できることが求められる。 クライアント証明書によって送信元の身元を一意に特定する方式も、所持による認証の考え方に基づいている。

チャレンジレスポンス方式とワンタイムパスワード

チャレンジレスポンス方式は、サーバが認証のたびに異なるランダムなデータ（チャレンジ）を送り、クライアントが利用者のパスワードとチャレンジを用いて応答を計算して返す方式である。パスワードそのものは通信路に出ず、チャレンジが毎回変わるため、過去の応答をそのまま再利用しにくい。

一方、認証のたびに異なる値を表示するトークンは、ワンタイムパスワードの方式である。値が毎回変わる点は似ているが、サーバからチャレンジを受け取り、それに応じて応答を計算する手順を含まない。値が変わることだけでチャレンジレスポンス方式と判断してはならない。

リスクベース認証と追加認証

リスクベース認証は、アクセス元の環境や通常の利用パターンなどからリスクを判断し、その結果に応じて認証の強度を変える方式である。普段と異なる環境からのアクセスをリスクが高いと判断した場合に、追加の本人認証を求めて不正アクセスへの対策を強める。 認証を常に複数併用する方式とは異なり、必要なときだけ強化する点が特徴である。

認証情報を忘れた場合の救済や、ブラウザに保存されたパスワードの利用可否といった話題は、リスクベース認証の本質ではない。