認証とアクセスの管理

指導者向けの公開補足

学習本文に加えて、指導の視点・背景・授業での確かめ方を示します。どなたでも読めます。

指導の焦点

認証は「誰かを確かめる」、認可は「何をしてよいかを決める」と分ける。パスワードを二つ入力しても、異なる要素を使う多要素認証になるとは限らない。

知識・所持・生体という要素の分類と、認証の強さは同じ話ではない。方式ごとにフィッシング耐性、紛失時の復旧、管理の負担も比較する。

架空のアカウントでログイン後の操作範囲を図にする。生徒の実際のパスワードを入力・収集させず、復旧コードの保管を含む運用を考えさせる。

制度・規格等は本文末尾の参考資料も確認してください。

利用者名などで「どのアカウントか」を示すのが識別だ。その利用者が正当な本人かを確かめるのが認証、認証された利用者に何を許すかを決めるのが認可である。三つは役割が異なる。

架空の共同編集サービスなら、会員番号を入力し、認証を受けた後、一般部員は閲覧、記録係は編集、管理者は権限変更を行えるようにする。他人の会員番号がわかっても本人確認はできないし、ログインできたからといって全ての操作を認められるわけでもない。

異なる種類の要素を組み合わせるのが多要素認証だ。パスワードと秘密の質問は、どちらも知識に分類されるため、入力が二段階でも二要素とは限らない。二段階認証と多要素認証は同じ意味ではない。

端末の指紋認証を使っていても、毎回サービスへ指紋画像そのものが送られるとは限らない。認証の仕組みは実装により異なるため、「生体認証ならどこでも同じ」と考えない。利用するサービスの説明を確認する。

十分に長く推測されにくいパスワードを、サービスごとに別に用意する。一か所から漏れた組合せを別のサイトで試されると、使い回しているアカウントも被害を受ける。氏名や誕生日から簡単に推測できる文字列は避ける。

多くのパスワードを記憶だけで管理するのは難しい。信頼できるパスワード管理機能を、学校や組織の方針に従って活用する方法もある。管理用アカウントの保護や、端末のロックも重要だ。漏えいや不正利用が疑われる場合は変更し、画面やサービスの案内に従って対応する。

パスキーは公開鍵暗号を使う認証の仕組みで、一般にサービス側に秘密鍵や共有パスワードを渡さずに認証する。利用先と結び付いた仕組みにより、偽サイトへの認証情報の入力を防ぎやすい。端末内の認証情報を使う場合や、対応する仕組みで同期する場合などがある。

ただし、パスキーを使えば端末の盗難やアカウント復旧の危険がなくなるわけではない。予備の認証方法、端末変更、紛失時の手順も確認する。通知が来たとき、身に覚えのないログインを承認してはいけない。確認コードを他人に教えることも避ける。

共有端末では、ブラウザーを閉じるだけでログアウトしたと思い込まない。認証状態が残る場合がある。利用後は正式にログアウトし、保存された情報も組織の手順に沿って確認する。

復旧用のメールや電話番号が古いと、本人が戻れなくなる。予備コードを安全な場所に保管し、他人に見せない。端末をなくした際は、別の信頼できる端末から公式窓口を確認し、セッション停止や認証情報の無効化を相談する。

問1の解答例を見る

ログインで本人であることを確認するのが認証であり、閲覧や編集の権限を決めるのが認可である。この場合、認証は済んでいるが、編集の認可は与えられていない。

問2の解答例を見る

多要素認証ではない。パスワードも秘密の質問も「知っていること」という同じ要素に分類される。質問が二つあっても、要素の種類が増えたわけではない。

問3の解答例を見る

認証アプリや登録端末を移行できるか、回復コードが使えるか、予備の認証方法や連絡先が最新かを確認する。新端末でログインできることを確かめてから旧端末を初期化する。

認証と認可を分け、複数の要素や使い回さない認証情報で入口を守る。端末、ログイン状態、復旧方法も含めて管理することが、継続して安全に使う条件になる。