2.3利用者認証と多要素

フィッシング詐欺やパスワードリスト攻撃が横行する現在、セキュリティ担当者が利用者認証の方式を選ぶ際に最初に問うべきは「この方式は何に耐性があり、何には耐性がないのか」です。ワンタイムパスワードは覗き見・使い回しには強くても精巧なフィッシングサイトへの入力までは防げない場合があり、一方でFIDO/WebAuthnは秘密情報をサーバに送らない設計により根本的にフィッシング耐性を持ちます。この節では認証の3要素を基礎に、実際の脅威シナリオに応じた認証方式の選び方を学びます。

2.3.1認証の3要素と多要素認証

• 認証の3要素＝知識（本人だけが知っている情報。パスワード・PIN等）、所持（本人だけが持つもの。ICカード・スマートフォン・トークン等）、生体（本人固有の身体的・行動的特徴。指紋・顔・虹彩等）。
• 多要素認証（MFA）＝異なる要素を2つ以上組み合わせて認証する方式。同じ要素を2つ使っても多要素にはならない点に注意（例：パスワード＋秘密の質問はどちらも知識要素なので2段階認証ではあっても多要素認証ではない）。1つの要素が破られても他の要素で防げるため、単一要素より格段に安全性が高い。

2.3.2ワンタイムパスワード・チャレンジレスポンス認証・リスクベース認証

• ワンタイムパスワード（OTP）＝一度使うと無効になる使い捨てのパスワード。所持要素（トークンやスマートフォンアプリ）と組み合わせることが多く、盗聴や使い回しによる不正利用には強いが、利用者がフィッシングサイトにOTPをそのまま入力してしまうリアルタイム中継攻撃には弱い場合がある。
• チャレンジレスポンス認証＝サーバが毎回異なるチャレンジ（乱数）を送り、利用者側が共有鍵等でその場限りの応答（レスポンス）を計算して返す方式。パスワードそのものを通信路に流さないため、通信の盗聴によるパスワード漏えいに強い。
• リスクベース認証＝いつもと異なる場所・端末・時間帯からのログインなど「普段と異なる状況」を検知した場合にのみ追加の認証（OTP等）を要求する方式。利便性とセキュリティのバランスを取りやすく、正規利用者の負担を抑えつつ異常なアクセスにだけ強い認証を課せる。

2.3.3生体認証とFIDO/WebAuthn、Kerberos・RADIUS

• 生体認証の精度は本人拒否率（FRR）（正規本人を誤って拒否する割合）と他人受入率（FAR）（他人を誤って受け入れてしまう割合）のトレードオフで評価される。FARを下げる（セキュリティを高める）とFRRが上がりやすく（利便性が下がる）、逆も同様。
• FIDO/WebAuthn＝生体認証や端末内のセキュアな鍵ペアを使い、パスワードそのものをサーバに送らず送信もしないパスワードレス認証の標準規格。端末で生成した秘密鍵は端末外に出ず、サーバは公開鍵のみを保持するため、フィッシングサイトに騙されても認証情報を渡してしまうリスクが原理的に低い（フィッシング耐性が高い）。
• Kerberos＝信頼できる第三者（鍵配布センターKDC）が発行するチケットを使い、一度の認証で複数のサービスにアクセスできる（SSO的な）認証プロトコル。RADIUS＝ネットワーク機器（VPN・無線LANアクセスポイント等）への接続時の認証・認可・アカウンティング（AAA）を一元管理するプロトコルで、企業ネットワークの入口で広く使われる。

ある企業のセキュリティ担当者が、社員向けの認証基盤を見直しているとします。背景として、直近半年でフィッシングメールを起点としたパスワードとOTPの両方を精巧な偽サイトに入力させて認証情報を盗む「リアルタイム中継型フィッシング」の被害が他社で相次いでいるという報告がありました。従来の認証方式（パスワード＋SMS OTP）は「知識＋所持」の多要素認証にはなっているものの、利用者が偽サイトにパスワードとOTPをその場で入力してしまえば、攻撃者はその場でそれを正規サイトに転送して認証を突破できてしまうという弱点があります。これを踏まえ担当者は、FIDO/WebAuthnへ移行するという判断を下します——FIDO/WebAuthnでは端末内で生成された秘密鍵がサーバに一切送信されず、認証時のやり取りは接続先ドメインに紐づいた署名として行われるため、たとえ利用者が偽サイトに誘導されても偽サイトのドメインに対する正規の署名を生成できず、リアルタイム中継フィッシングを構造的に無効化できます。加えて、社内の全リモートワーカーがVPN機器経由で社内ネットワークへ接続する際の認証・認可・アカウンティングを一元的に管理する必要があるため、VPN機器と認証サーバの間にはRADIUSを配置し、AAAを集約します。さらに、社内の複数システム（ファイルサーバ・メールサーバ・社内ポータル等）へ一度のログインでアクセスできるようにする社内SSO基盤には、信頼できる第三者（KDC）がチケットを発行するKerberosを採用します。もし仮に生体認証（指紋等）の導入も検討する場合は、入退室管理のように本人拒否によるアクセス不能を絶対に避けたい用途ではFRRを低めに、逆に機密情報へのアクセス制御など誤認による不正アクセスを絶対に避けたい用途ではFARを低めに設定するというトレードオフの調整が必要になります。このように、担当者は「どの脅威（盗聴・使い回し・リアルタイム中継フィッシング・誤認証）に耐性を持たせたいか」を起点に、OTP・チャレンジレスポンス・FIDO/WebAuthn・Kerberos・RADIUSを使い分けます。

2.3.4この節のまとめ

• 認証の3要素（知識・所持・生体）を異なる組み合わせで使うのが多要素認証。同じ要素の複数使用は多要素にならない
• OTPは盗聴・使い回しに強いがリアルタイム中継フィッシングに弱い場合があり、FIDO/WebAuthnは秘密鍵非送信＋ドメイン紐づけ署名で構造的にフィッシング耐性が高い
• 生体認証はFRR（本人拒否率）とFAR（他人受入率）のトレードオフ、SSOはKerberos、NW機器接続のAAA一元管理はRADIUS