[ITパスポート試験]認証[無料講座・例題付き！]

2020年2月6日2022年4月25日

今回はITパスポートの認証について学習します。

くろん

複数人がアクセスするシステムでユーザ毎に異なるサービスを提供するにはどうすればよいにゃ？

モナ

それなら今回は認証技術について学習していくニャ！

1. 認証とは
2. 認証技術・例題
- 2.1. 問題
- 2.2. 解説(クリックで展開)
3. 認証技術・まとめ

認証とは

認証は対象とする人物(サービス等も)が正しいかどうかを確認することです。認証には主に以下の2種類があります。

本人認証・・・ある人が他の人に、「自分が自分であること」を納得させることです。
メッセージ認証・・・メッセージが送信された後何者かに改ざんされていないことを確認することです。

これらを実現するためにディジタル署名や公開鍵基盤等の技術が用いられています。

本人認証

本人認証はその人がその人であることを確認、証明することです。本人認証は主に以下のようなものがあります。

知識による認証

知識による認証ではその人しか知りえない情報をもとに認証します。

例えばパスワードによる認証がありますね。

キュー

単純やけど実装しやすいってメリットがあるな。デメリットとしては推測されたり漏洩されると別の人間でも認証を突破してしまう点や、本人がPWを忘れてしまう点やな

持ち物による認証

持ち物による認証としてはその人しか持っていないICカードや社員証を認証に用いる方法です。

カードを複製することは困難なので知識による認証よりも強固になる場合もあります。

モナ

こっちも盗難、紛失と言ったリスクはあるニャ

バイオメトリクス認証

最後にバイオメトリクス認証があります。

こちらは指紋や声紋、虹彩や静脈パターン等身体的特徴を利用します。

複製や盗難の恐れは一気に下がる一方で実装にそれなりに費用が掛かる点と、ユーザが身体に何等か変化があった場合(指先のケガや風邪による声枯れ)に本人であっても正しく識別されないといった難点があります。

キュー

余談として、本人でも違うと識別されることをフォールス・ポジティブと呼ぶで

ディジタル署名

ディジタル署名はメッセージの正当性を確認します。

具体的にはそのメッセージが本人によって作成されたこと(なりすましがない)とメッセージの内容が改ざんされていないこと(メッセージ認証)を同時に行うことになります。

具体的な例を見てみましょう。

チョロ

ぷりんに文章を送るでチュ

ぷりん

ちゅ

この流れではチョロからぷりんに文章を送っています。

この時、チョロはぷりんに文章を送った後に、ぷりんはチョロから文章を受け取った後にそれぞれ文章をハッシュ関数と呼ばれる関数にかけます。

くろん

ハッシュ関数って何だにゃ？

ハッシュ関数は特別なアルゴリズムにより、もともとの文章からある値を導き出す関数になります。少し文字が異なると同じ値は生成されないため、少しでも文章が変わったら全く別の値になります。

キュー

例えば

「借したお金は4,000円です」　をハッシュ関数にかけたら　「$!”#!%”#!$!」　になるとしても、

「貸したお金は5,000円です」　をハッシュ関数にかけたら　「()$(#)””)!#”」　の様に全く別の値になるんや。

衝突困難性とか呼ばれるけど深く学ぶのは基本情報以降やな

ハッシュ関数にかけた後はチョロは自分の秘密鍵でハッシュ値を暗号化し、ぷりんに送ります。

ぷりんはチョロの公開鍵を用いてハッシュ値を取り出し、自分がかけたハッシュ関数により求められたハッシュ値と見比べて合っていたら認証が完了します。

チョロの公開鍵で復号できる暗号文を作成できるのは、それと対になっている秘密鍵を持っているチョロ以外ありえないため、メッセージはチョロが作ったものである。(本人認証)
ハッシュ値が同一と言うことは文章は改ざんされていない(メッセージ認証)

キュー

暗号化のページで学んだ公開鍵暗号方式とは秘密鍵と公開鍵の役割が逆転(公開鍵暗号方式では公開鍵で暗号化、秘密鍵で復号)している点も押さえておくと良いな

電子証明書

インターネット上では相手は直接認識できないためなりすましを含め簡単に身分を偽ることができます。

その運営者が正しいかどうかを証明する身分証明書が必要ですが、自分で作れる身分証(オレオレ証明書)では信用できません。

そこでしっかりとした機関が「この人は本人」と認める証明書が必要となり、この証明書を電子証明書と呼びます。そして、そのしっかりとした機関のことを認証局(CA)と言います。

具体的な電子証明書の内容は以下の通りです。

証明書形式のバージョン
証明書のシリアル番号
電子署名のアルゴリズム
認証局の識別名絵
有効期限
被証明者の識別名
公開鍵のアルゴリズム
公開鍵の値

認証局の電子署名

電子証明書の中には公開鍵の値も含まれており、電子証明書を取得した人は公開鍵と見比べてその値があっているかどうかを確認することができます。

これによって公開鍵の正当性を確認できます。

認証における重要語句

以下は試験でも良く問われる語句です。あわせて押さえておきましょう。

PKI(公開鍵基盤)・・・公開鍵暗号方式を用いた技術や製品全般のことです。
シングルサインオン・・・1回認証手続きすることで複数のアプリやサービスを利用できる技術のことです。
CAPTCHA・・・人間にしか判断できないような歪んだ文字を用いることでbotによる不正利用を避ける認証方法です。
コード署名・・・アプリケーションやデバイスなどに行われるディジタル署名です。

認証技術・例題

実際に例題を解いて問題に慣れていきましょう。

問題

問1

バイオメトリクス認証の例として，適切なものはどれか。(R.1/秋)

ア　本人の手の指の静脈の形で認証する。
イ　本人の電子証明書で認証する。
ウ　読みにくい文字列が写った画像から文字を正確に読み取れるかどうかで認証する。
エ　ワンタイムパスワードを用いて認証する。

問2

システムの利用者を認証するための方式に関する記述のうち，適切なものはどれか。(H.30/秋)

ア　一度しか使えないパスワードを用いて認証する方式を，シングルサインオンという。
イ　一度の認証で，許可されている複数のサーバやアプリケーションなどを利用できる方式を，ワンタイムパスワードという。
ウ　画面に表示された表の中で，自分が覚えている位置に並んでいる数字や文字などをパスワードとして入力する方式を，マトリクス認証という。
エ　指紋や声紋など，身体的な特徴を利用して本人認証を行う方式を，チャレンジレスポンス認証という。