ログインできても、何でも操作できるとは限らない

学校のシステムで生徒も先生もログインできるとしても、生徒が全員の成績を書き換えられては困ります。利用者を確かめる認証の後、その人の役割に応じて操作を許可するのが認可です。

本人であることの確認と、閲覧・編集などの権限は別に管理します。必要な範囲だけ権限を与える考え方も重要です。

整理して、見比べる認証と多要素認証の整理
分類例考え方
知識要素 パスワード・暗証番号 本人が知っていること
所持要素 本人が持つ端末・セキュリティキー 本人が持っているもの
生体要素 指紋・顔など 本人の身体的特徴
認可 閲覧のみ・編集可能などの権限 認証要素の種類ではない

要素は「知っている・持っている・本人の特徴」

パスワードや暗証番号は知識要素です。本人が所持する端末やセキュリティキーは所持要素、指紋や顔など身体的特徴は生体要素です。

例えばパスワードと本人が所持する端末による確認を組み合わせれば、異なる要素を利用できます。一方、パスワードと別の暗証番号は、いずれも知識要素です。

認証を強めても、油断してよいわけではない

長く推測されにくいパスワードをサービスごとに使い分け、利用できる場合は多要素認証を設定します。あるサービスから情報が漏れても、同じ情報で別のサービスに入られる被害を抑えるためです。

認証コードをだまし取る攻撃や、身に覚えのない承認要求もあります。自分が始めていない認証を承認せず、正規の窓口や設定画面で確認しましょう。