ITパスポート試験 ITパスポート 2015年 (平成27年 春期) 問54: ある認証システムでは虹彩認証とパスワード認証を併用しており,認証手順は次のとおりである。この認証システムの特徴として,適切なものはどれか。 〔認証手順〕 (1)

正解

イ. 体調の変化などによって虹彩認証が失敗しても,パスワードを入力することでログインができるので,利便性が高い。

正答率 67.2%（1,209人中 813人が正解）

問題の解説

正答はイ. 本認証システムでは虹彩認証 (生体認証) を主とし, 失敗した場合にパスワード認証を補完的に併用する設計. 体調変化等で虹彩認証が一時的に失敗してもパスワードでログインできる点で利便性が高いのが特徴. ただし他人がパスワードを入手すれば本人になりすませるため強度向上策とは言い切れない (むしろ「OR条件」). 多要素認証で強度を高めるには「ANDで両方必要」とすべきで, この設計は強度よりも利便性重視. 認証要素の組合せ方の違いを理解する重要な事例. この用語は試験頻出のため定義と用例を整理して確

選択肢ごとの解説

• ア虹彩認証と併用してもパスワードの定期変更が安全性に寄与する原則は変わらないため, パスワード定期変更を行わなくても安全という記述は誤り. 各認証要素を個別に強化する必要があり, 併用が定期変更を不要にはしない. 用語や概念の取り違いに注意.
• イ体調変化等で虹彩認証が失敗してもパスワードでログインできるため利便性が高いのが本システムの正答. 生体認証の弱点 (体調・環境による誤認識) をパスワードで補完する設計思想であり利便性重視の構造である. 用語の定義と適用範囲を整理して覚える.
• ウ本システムは「いずれか一方が成功すればログイン可能」というOR条件であり, 一方の認証が突破されればログインできるため認証強度はパスワード単独より弱まる可能性も. AND条件の多要素認証とは異なり強度は高くない. 用語や概念の取り違いに注意.
• エ虹彩認証で他人を本人と識別しても, 認証手順上は虹彩で成功すればそのままログインしパスワードチェックは行われない. 「成功時の追加チェック」はなく強度向上には不十分でありこの記述は誤りで構造を取り違えている. 対象や目的が異なるため不適切.