リスクベース認証
更新日:
用語解説
チャレンジレスポンス認証は毎回異なる質問値への応答で秘密の保有を確かめる方式、リスクベース認証はアクセス状況のリスクに応じて認証強度を変える方式です。
■ 試験で押さえるポイント
チャレンジレスポンスではサーバが乱数等のチャレンジを送り、利用者側が秘密情報と組み合わせたレスポンスを計算し、サーバが検証します。
チャレンジを使い捨てにすれば、盗聴した過去のレスポンスを再送するリプレイ攻撃を防げます。秘密情報そのものを通信しない点も特徴です。
リスクベース認証は端末、IPアドレス、位置、時刻、行動履歴等を評価し、通常時は簡便に、高リスク時は多要素認証等を追加します。
両者は排他的ではなく組み合わせられます。前者は応答値の検証方式、後者は状況に応じた認証要求の決定方針です。
■ 過去問での着眼点
毎回異なる乱数で再送を防ぐのがチャレンジレスポンス、普段と異なる環境で追加認証するのがリスクベース認証です。固定レスポンスではリプレイ攻撃を防げない点が重要です。
例: 通常端末ではパスキーだけを求め、未知の海外端末では追加確認を行うのがリスクベース認証で、その認証器内部でチャレンジレスポンスを使うこともできます。