認証（Authentication）と認可（Authorization）は、ITセキュリティにおける基礎的な概念であり、システムへのアクセスを管理する際に不可欠な役割を果たします。
これらの概念はしばしば混同されがちですが、実際には異なる目的と手順を持っています。
本記事では、認証と認可の違いを詳細に解説し、それぞれがどのようにITシステムに適用されるかを具体例を交えて説明します。
認証（Authentication）とは？
認証（Authentication）は、ユーザーがシステムにアクセスする際に、そのユーザーが本物であるかどうかを確認するプロセスです。
このプロセスでは、ユーザーが提示した情報（ユーザー名、パスワード、セキュリティトークンなど）が正当であることを確認します。
- 相手認証（二者間認証）: ユーザーが自分のアカウント名を入力し、正しいパスワードを入力することで、そのユーザーが本物であることを確認する方法です。
例えば、銀行のATMでは、キャッシュカードと暗証番号を使用して本人確認を行います。
- 三者間認証（第三者認証）: ユーザーが提示した証明書や認証情報が正当であるかどうかを第三者（認証局など）に確認する方法です。
例えば、インターネット上での通信を暗号化する際に、デジタル証明書を発行元に照会して身元を確認する ことができます。
認証方法の分類
認証方法は大きく3つのカテゴリーに分けられます。
これらは、認証を行う際に使用する「何を知っているか」「何を持っているか」「何をしているか」に基づいて分類されます。
- WYK（What You Know）認証: ユーザーが知っている情報（例：パスワード、PINコード）を使用して本人確認を行う方法です。
この方法は最も一般的ですが、情報が盗まれた場合にセキュリティリスクが生じます。
- WYH（What You Have）認証: ユーザーが持っている物（例：セキュリティトークン、ICカード）を使用して本人確認を行う方法です。
これにより、物理的な要素を利用することでセキュリティを強化します。
- WYA（What You Are）認証: ユーザーの生体情報（例：指紋、顔認証、虹彩認証）を使用して本人確認を行う方法です。
これらは他人に真似されることが非常に難しく、最も安全な認証方法とされています。
しかし、誤認識や拒否が発生する可能性もあるため、慎重な導入が求められます。
認証の実務における利用例
- オンラインバンキング: ユーザーがインターネットバンキングにアクセスする際、ユーザー名とパスワードを入力し、認証を行います。
その後、追加のセキュリティとして、ワンタイムパスワード（OTP）や二段階認証が求められることもありま す。
- 企業内システム: 企業のイントラネットにアクセスする場合、従業員は自分の社員IDとパスワードを使ってシステムにログインし、本人であることを認証します。
認証と認可（Authorization）の違い
認証と認可は密接に関連していますが、異なる概念です。
-
認証（Authentication）は、「あなたが誰であるか」を確認するプロセスです。
-
たとえば、システムにログインするためにユーザー名とパスワードを使用することが認証です。
-
認可（Authorization）は、「あなたが何をできるか」を確認するプロセスです。
-
認証が成功した後、システムはそのユーザーに与えられたアクセス権限を確認し、許可された範囲内で操作を許可します。
例えば、オンラインバンキングの場合、認証が成功した後、ユーザーは自身の口座情報や取引を確認できますが、他人の口座情報にはアクセスできません。
このアクセス制限が認可にあたります。
認証と認可の技術的な区別
- 認証の技術: 認証には、パスワードベースの認証、トークンを用いた認証、生体認証などの技術が使用されます。
- 認可の技術: 認可では、ユーザーに付与されたロール（役割）やアクセス権限を基に、システムが操作を許可するかどうかを判断します。
これにはアクセス制御リスト（ACL）やロールベースアクセス制御（RBAC）などが使用されます。
まとめ
認証（Authentication）は、システムにアクセスするユーザーの正当性を確認するプロセスであり、認可（Authorization）は、そのユーザーがシステム内で何を行えるかを決定するプロセスです。
これらの概念はITセキュリティにおいて重要であり、システムやネットワークの保護には欠かせません。
認証と認可を正しく理解し、適切に使い分けることが、企業や個人のセキュリティを強化する鍵となります。