認証（authentication）と認可（authorization）は、ITセキュリティの基礎となる重要な概念です。
本記事では、認証の定義、分類、実用例、さらに認可との違いについて詳しく解説します。
これにより、これらの概念がどのようにセキュリティに寄与しているかを理解し、実際の業務やシステムにどのように適用できるかを考察します。
認証の基本概念
認証とは
認証は、対象の正当性や真正性を確かめるプロセスです。
特にITの分野では、相手が名乗った通りの本人であるかを確認する「本人確認」を指します。
これには、データが改竄されていないか確認する「メッセージ認証」や、データの属性が真正であることを確認する「時刻認証」などが含まれます。
二者間認証
二者間認証は、二者が相対で相手方の真正性を確認するプロセスです。
たとえば、ユーザーがコンピュータにログインする際、アカウント名と正しいパスワードを入力することで認証されます。
このように、日常生活でも金融機関のATMなどで暗証番号を入力する場面が該当します。
認証の種類
三者間認証
三者間認証は、第三者に問い合わせて相手方の正当性を確認するプロセスです。
例えば、通信経路を暗号化する際に、相手から提示されたデジタル証明書を認証局（CA）に照会することで身元を確認します。
これにより、資格や行政機関の認証制度、クレジットカードの信用照会が実現します。
認証方法の分類
WYK（What You Know）
WYK認証は、事前に共有された秘密の情報（パスワードやPIN）を入力することで本人確認を行います。
この方式は、情報が漏洩するリスクがあります。
WYH（What You Have）
WYH認証は、物理的なトークンやデバイスを用いて本人確認を行います。
USBトークンやICカードなどがこれに該当します。
この方式も、デバイスを盗まれるリスクがあります。
WYA（What You Are）
WYA認証は、生体情報を基に本人確認を行う方法です。
指紋認証や顔認証などがこれに該当し、他人による不正ななりすましが最も難しいとされていますが、誤認識のリスクも存在します。
認証と認可の違い
認可とは
認可は、認証されたユーザーに対し、適切な権限を与えるプロセスを指します。
アクセス権の設定などに基づき、利用者がどのような操作を行えるかを決定します。
認証と認可はしばしば混同されがちですが、認証は「誰か」を確認するプロセスであり、認可は「何ができるか」を決定するプロセスです。
まとめ
認証と認可は、ITセキュリティにおいて非常に重要な概念です。
認証はユーザーの身元を確認し、認可はそのユーザーに与えられた権限を管理します。
これらのプロセスを理解することで、より安全なシステムを構築し、業務を効率的に運営することが可能になります。
認証と認可の正しい理解は、ITセキュリティの強化に寄与するでしょう。
さらに参考してください。