ログイン（利用者 ID とパスワード）

ログインは、利用者又は機器がシステムへ識別情報と認証情報を提示し、本人・正当な主体であることを確認された後、認証済みセッションを開始する処理です。

■ 試験で押さえるポイント

• 利用者IDを名乗る識別、パスワード・暗号鍵等で確かめる認証、認証後に許可操作を決める認可は別の処理で、ログイン成功が全権限を意味しません。

• パスワードだけでなく、ICカード、FIDO、ワンタイムパスワード、生体情報等を単独又は複数要素で利用できます。

• 成功・失敗、時刻、対象、接続元、端末、MFA結果を監査し、試行制限と異常検知を行いますが、ログへパスワードや秘密値を記録しません。

• 認証後は安全なセッショントークンを発行し、権限変更時に更新し、アイドル・絶対有効期限、明示ログアウト、侵害時の一括失効を設けます。

■ 過去問での着眼点

ID入力は識別、秘密等の確認は認証、その後の操作可否は認可です。ログインをパスワード入力だけに限定する説明は誤りです。

例: 社員番号で利用者を識別し、FIDO認証で本人を確認してセッションを発行し、認可規則で経理画面だけを許可する、という順に処理します。