認証方式と認証攻撃

認証方式とは、利用者が本人であることを確認するための手段と、その組み合わせ方を指す。認証に用いる要素は、本人だけが知る情報、本人だけが持つ物、本人の身体的特徴の三つに大別され、複数の要素を組み合わせるほど不正なログインは難しくなる。本単元では、要素の組合せ、通信上の工夫、リスクに応じた認証、生体認証の特徴、認証を狙う攻撃を整理する。

認証要素の組合せと多要素認証

多要素認証は、パスワードのような知識の要素に加えて、スマートフォンのような所持の要素などを組み合わせる方式である。パスワードだけが盗まれても、もう一つの要素がなければログインできないため、単一要素の認証より強い防御になる。

ただし、組み合わせた要素そのものを悪用する攻撃も存在する。パスワードとプッシュ通知を用いるシステムで、攻撃者が不正なログインを繰り返して承認要求を大量に発生させ、利用者が疲れて誤って承認するように仕向けるのが多要素認証疲労攻撃である。

通信上の認証方式：チャレンジレスポンスとワンタイムパスワード

チャレンジレスポンス認証は、サーバがランダムなデータ（チャレンジ）を送り、クライアントが利用者のパスワードとそのデータから計算した応答だけを送る方式である。パスワードそのものを通信路に流さないため、盗聴された応答を後で再利用しにくい点が特徴である。

TLSで通信を暗号化するだけでは、チャレンジレスポンス認証にはならない。固定のパスワードを保護された通信路で送る方式は、認証のたびに同じパスワードを送るため、この方式に該当しない。

ワンタイムパスワードは、認証のたびに異なる値を表示する方式であり、チャレンジレスポンスとは仕組みが別である。サーバから受け取ったチャレンジに応じて応答を計算する手順を持たない点で、両者を区別する必要がある。

リスクに応じた認証

リスクベース認証は、アクセス環境や利用状況からリスクを判断し、普段と異なる環境からのアクセスと判断した場合に追加の本人認証を求める方式である。常に同じ手順を要求するのではなく、状況に応じて認証の強さを調整する点が特徴である。

3Dセキュア 2.0（EMV 3-Dセキュア）も、リスクの考え方を用いる本人認証サービスである。オンラインのクレジットカード決済で、利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。

3Dセキュアは、オンライン決済時にカード発行会社が追加認証を行い、カード情報だけを使った不正決済を防ぎやすくする仕組みである。一方、カード内のPINは主に店頭でのICカード取引に使われるため、ネット上の不正利用対策としては有効に働かない。