識別と認証：類似点と相違点
オンライン化が進む中、ユーザーは常に識別、認証、認可の対象となっています。これらの用語はしばしば混同されますが、同じ意味ではなく、それぞれ特定のタスクを実行するために動作が異なります。
識別とは、多くの場合、ユーザー名を使用して特定のユーザーを識別する行為です。認証 は、このユーザーの アイデンティティを証明することであり、通常はパスワードを入力することによって管理されます。
ユーザーが適切に識別され認証された後にのみ、システムまたは特権へのアクセスが認可されます。認可は、特定のリソースに対する権利と特権を割り当てることです。識別と認証には特定の目的があり、データセキュリティに不可欠なコンポーネントです。
識別と認証の定義
識別は、ほとんどのオンライントランザクションの最初のステップであり、ユーザーは通常、名前、メールアドレス、電話番号、またはユーザー名を提供することによって、自分自身を「識別」する必要があります。これは、人が「私は云々という人物です」と主張するプロセスです。
ただし、オンラインの環境では、それが実際に存在するアイデンティティであること、そして本人であることを確認するのは、必ずしも容易ではありません。
アイデンティティは、より多くの情報（しばしば、行政機関が交付した身分証明書の形式）を提供することで確認できます。検証プロセスは通常、アカウントを作成するとき、またはサイトにアクセスするときにのみ行われます。この後、多くの場合、ユーザー名と一緒にパスワードを作成することによって、アイデンティティが認証されます。
システム、サービス、または企業に対する最初のサインアップ、アクセス、またはオンボーディング（アイデンティティが確認された後）では、何らかの形式の認証が設定されます。認証は、サービスまたはアプリケーションにアクセスするたびに必要とされます。
デジタル認証には、次のいずれかが必要です。
- ユーザーが知っていること：パスワードまたはセキュリティの質問
- ユーザーが持っているもの：トークン、スマートカード、IDカード、または暗号化キー
- ユーザーの属性：指紋や顔のスキャンなどの生体データ
認証プロセスは、ユーザーが識別段階で主張した人物であることを証明する方法です。最も安全な認証方法には、複数の認証形式を使用する必要がある多要素認証（MFA）が含まれます。
認可について
認可とは、サービスまたはシステムへのアクセスをユーザーに付与することであり、すでに提供された識別と認証に基づいて権利と特権を認めます。
2020年には、個人情報の盗難や詐欺の報告が500万件近くに上りました。サイバー犯罪は、悪意ある人物が個人情報を窃取し、正当なユーザーを装う問題です。
認可は、ユーザーが主張する人物であり、特定のサービスにアクセスし、特定の特権を持つことを認可されていることを確認するのに役立ちます。認可を有効なものにするには、識別と認証の両方を実行した後で行う必要があります。
各プロトコルが使用される場所
識別は、アカウント、サービス、企業のオンボーディングの初期セットアップ段階で使用されます。個人を識別するために個人情報を提供し、本人のアイデンティティを確認する必要があります。
アイデンティティの確認には、身分証明書、実在の人物だけが持つ知識、または社会保障番号などの個人データの入力などが使用されます。通常、ユーザーがユーザー名の形式でアカウントまたはサービスにアクセスするたびに、識別が使用されます。
認証は2番目のステップです。これは、ユーザーが実際に主張する人物であることを確認するために、以前に提供された情報に対してユーザーを照合するために開始されます。認証は、ユーザーがパスワードを入力するか、合意された情報を提供するときに行われます。次に、システムが保存データをチェックし、2つが一致することを確認します。
認証システムは、ユーザーのアイデンティティが正当であることを確認するために、ワンタイム検証コードを要求することもあります。多くの場合、これは以前に提供されたメールや電話番号にテキストメッセージで送信され、ユーザーは追加の認証要素としてコードを提供する必要があります。識別と認証が検証された後にのみ、認可が行われます。
システムは最後に、認可の後でユーザーにアクセスを認めるか、権利や特権を付与します。認可により、無認可の使用またはアクセスを防止することで、システム内のリソースや個々のユーザーを保護できます。
識別、認証、認可の使用方法
以下に一例を紹介します。
- ユーザーが識別情報を提供することによって、システムへのオンボーディングが実行されます。
- ユーザーが、将来のアクセスのためにパスワードなどの認証要素を設定します。
- ユーザがログインに戻ると、システムは識別情報（ユーザー名）と認証要素（パスワード）を要求します。
- システムがユーザーを認証するため、ユーザーが提供した情報が正しく、保存データに一致することを確認します。
- 管理者が認可したシステムとリソースへのアクセスがユーザーに付与されます。
こちらの情報も併せてご活用ください
オンラインで個人データを安全に保つには、アイデンティティを保護し、強力な認証プロセスを使用する必要があります。強力なパスワードを作成するためのヒントは、こちらをご覧ください。
パスワードマネージャーも、パスワードが強力であり攻撃者に推測されにくいように確保する上で役立ちます。パスワードは頻繁に変更すべきであり、また複数のサイトでパスワードを使い回してはなりません。
また、パスワードと確認コードなど、最低でも2要素認証プロセスを使用することをお勧めします。多くのサイトには、2要素認証を有効にする機能が組み込まれています。
3つ以上の認証要素を使用する多要素認証は、さらに優れています。提供する認証要素が多いほど、アカウントの安全性が高まります。指紋、網膜スキャナー、顔認識などの生体情報を使用することで、セキュリティのレイヤを追加することもできます。
認証は、オンラインのアカウントを保護し、データやリソースの安全性を高めるための鍵です。
参考文献
Multi-Factor Authentication: Who Has It and How to Set It Up（2022年1月、PC Mag）
Facts + Statistics: Identity Theft and Cybercrime（2022年、Insurance Information Institute, Inc.）
What Makes a Good Password? 9 Rules to Protect You From Cyberattacks（2022年2月、CNET）
Biometrics（2021年12月、米国国土安全保障省）