情報セキュリティにおける認証（Authentication）とは？仕組みと種類を解説

認証（Authentication）とは

認証とは、ある人物やシステムが自称する通りのものであることを確認し、その同一性を識別する手続きのことです。認証はサーバーとクライアントの両方の側面で利用されます。

サーバー側の認証は、データへのアクセス要求があった際に「誰がアクセスしているのか」を把握する必要がある場合に用いられます。一方、クライアント側の認証は、接続先のサーバーが本当に本物であることを確認したい場合に使用されます。

主な認証方法

サーバーによる認証は、最も一般的にはユーザー名とパスワードの組み合わせによって行われます。それ以外にも、以下のような認証方法が存在します。

• カード（ICカードやスマートカードなど）
• 網膜スキャン
• 音声認識
• 指紋認証

認証と認可の違い

認証は、ある人物が特定のプロセスにおいてどのような操作を実行できるか、どのドキュメントを閲覧・読み取り・更新できるかといった権限を定義するものではありません。それは認可（Authorization）の役割です。認証の主な目的は、その人物やシステムが確実に何者であるかを特定することにあります。

モバイルデバイスにおけるユーザー認証

ユーザー認証は、PDA（Personal Digital Assistant）などのモバイル機器やハンドヘルドデバイスにおける最重要の防御線です。しかし、従来の認証アーキテクチャはユーザーIDの一元管理データベースに依存しているため、異なる管理ドメインにまたがるユーザー認証が困難になるという課題がありました。

貴重な個人情報やパーソナライズされたサービスへの安全なアクセスを提供するすべてのシステムにとって、モバイルデバイスのセキュリティ確保は共通の課題です。このため、認証メカニズムは分散型であることが求められ、認証システムの各要素が相互に連携してユーザーを認証できる仕組みが必要となります。

認証サービスの役割

認証サービスは、通信の真正性を保証することを目的としています。警告信号やアラーム信号など単一のメッセージの場合、認証サービスの機能は、そのメッセージが自称する発信元から確かに送信されたものであることを受信者に納得させることです。

一方、端末とホストの接続のような通信要求の場合には、次の2点を確認する必要があります。

第一に、接続の開始時に、通信に参加する2つのエンティティが本物であること、すなわち、それぞれが自称するエンティティと同一であることを認証サービスが保証します。

第二に、第三者が2つの正当な当事者の一方になりすまし、不正な送受信を行うような形で接続が妨害されていないことを、認証サービスが保証しなければなりません。

X.800で定義される2つの認証サービス

X.800（OSIセキュリティアーキテクチャ）では、以下の2つの認証サービスが明確に定義されています。

ピアエンティティ認証（Peer Entity Authentication）

通信に参加する2つのエンティティの同一性を検証するためのサービスです。接続の確立時、またはデータ転送中の任意の時点で使用されます。これにより、エンティティがなりすましや、過去の接続の不正なリプレイ（再生）を行っていないことを確認できます。

データ発信元認証（Data Origin Authentication）

メッセージの発信元（送信者）を検証するためのサービスです。ただし、情報単位の複製や改ざんに対する保護は提供しない点に注意が必要です。このタイプのサービスは、通信エンティティ間に事前のやり取りが存在しない電子メールなどのアプリケーションに適しています。