IPA 利用者認証・SSO・ID連携 — 頻出論点と過去問

頻出論点

1. この分野は何か

本人であることをどう確かめるかという利用者認証と、一度確かめた結果を複数のシステムや別ドメインでどう使い回すかというシングルサインオン（SSO）・ID連携を扱います。認証の3要素や生体認証の精度指標から、パスワードを狙う攻撃への対策、SAML・OAuth 2.0・FIDO認証の動作までを見分けられるようになります。

2. 実際の出題のされ方

認証要素の分類や生体認証の指標など基本的な概念は、ITパスポートで問われます。知識情報・所持情報・生体情報の3要素の分類、二要素認証と二段階認証の具体例、バイオメトリクス認証における身体的特徴と行動的特徴（筆跡・筆圧やキーストロークなど）の判別、本人拒否率（FRR）と他人受入率（FAR）のトレードオフ、リスクベース認証やパスワードリスト攻撃の基本が出題されています。

パスワード保護の仕組みや決済時の認証、SSOの基本構成は、応用情報技術者や高度試験の午前Iで出題されます。他サイトから流出した認証情報を悪用するパスワードリスト攻撃や事前計算テーブルを用いるレインボーテーブル攻撃、ハッシュ関数を繰り返し適用するストレッチング、チャレンジレスポンス認証が出題されています。3Dセキュア2.0やオフラインPIN照合などのクレジットカード不正利用対策と、SAMLやリバースプロキシを用いたSSOの通信経路も問われています。

認証・認可プロトコルのフローやSSO方式の比較、高度な攻撃手口は、高度試験の午前II（情報処理安全確保支援士など）で問われます。SAMLにおけるIdPとSP間のアサーション検証フロー、リバースプロキシ方式・エージェント方式・代理認証（代行入力）方式の比較、SAMLの流れをKerberosのチケットによる認証と区別する問題、OAuth 2.0で認可サーバがアクセストークンを発行するロールの対応、FIDO認証での生体情報の扱いが出題されています。このほか、Pass the Hash攻撃やパスワードスプレー攻撃、多要素認証疲労攻撃（MFA Fatigue Attack）、NIST SP 800-63-3の身元確認も問われています。重複順列（$M^n$）や常用対数を用いたパスワード総数の計算も出ています。

3. 学習のポイント

第一に、認証要素と精度指標を整理します。二要素認証は異なる要素（知識＋所持、知識＋生体など）の組み合わせであり、パスワードと秘密の質問（知識＋知識）のように同じ要素を2つ順に求めるのは二段階認証にとどまります。生体認証では、本人拒否率（FRR）を低く設定すると利便性が高まり、他人受入率（FAR）を低く設定すると安全性が高まります。また、成人の虹彩認証は経年変化がほとんどなくパターン更新がほぼ不要である点や、筆跡・キーストロークなどの行動的特徴も生体認証に含まれる点を押さえておきます。

第二に、パスワード攻撃と認証方式の仕組みを対比します。辞書攻撃、ブルートフォース攻撃、流出したID・パスワード対を使うパスワードリスト攻撃、アカウントロックを回避するため少数の定番パスワードを多数のIDに対して試行するパスワードスプレー攻撃を切り分けます。平文とハッシュ値のチェーンを事前準備するレインボーテーブル攻撃、ハッシュ値そのものでログインするPass the Hash攻撃、プッシュ通知を繰り返し送り誤承認を誘う多要素認証疲労攻撃も区別しておきます。対策面では、ソルトの付与やストレッチング、通信路をTLSで保護するだけでなくランダムなチャレンジとパスワードの演算結果（レスポンス）を送るチャレンジレスポンス認証、普段と異なる環境からのアクセス時のみ追加認証を求めるリスクベース認証（3Dセキュア2.0など）が重要です。

第三に、SSOとID連携プロトコルの役割分担を理解します。SAMLはOASISが策定したXMLベースの規格で、IdPが利用者認証を行い、発行されたアサーションをクライアント経由でSPへ渡し検証します。リバースプロキシ方式のSSOは全トラフィックが集中し単一障害点になり得る一方、デジタル証明書（クライアント証明書）による認証を統合でき、背後のWebサーバへ利用者IDを中継します。OAuth 2.0は認証ではなく認可のプロトコルであり、リソースオーナーの同意のもと認可サーバがクライアントへアクセストークンを発行します。FIDO認証（パスキー）では生体情報は認証器（スマートフォンなど）の内部でのみ処理され、外部のWebブラウザやWebサーバ、IdPに送られるのは認証器が作ったデジタル署名を含む応答で、生体情報は送信されません。

4. 間違えやすいところ

SAML・OAuth・OpenIDやSSO各方式の特徴を入れ替えた選択肢が頻出します。SAMLでIdPからSPへパスワードが送信されるとしたり、SAMLがURL形式の利用者IDを自動生成するとしたり（正しくはOpenIDの説明）、OAuth 2.0でクライアントがアクセストークンを発行するとしたり（正しくは認可サーバが発行する）、エージェント方式がクライアントPCでログイン画面を監視して代行入力するとしたり（正しくは代理認証（代行入力）方式の説明で、エージェント方式は対象のWebサーバにモジュールを組み込みます）、Cookieを使ったSSOでは異なるインターネットドメインに配置する必要があるとしたり（正しくは同一ドメインに配置する）する誤答に注意が必要です。

また、FIDO認証でWebブラウザやIdPが生体情報を受信するとする引っかけや、ボット判別用のCAPTCHAやパターン認証を生体認証に含める選択肢、生体認証の本人拒否率を下げたときの効果を利便性ではなく可用性とする選択肢、固定パスワードをTLSで暗号化して送る方式をチャレンジレスポンス認証とする選択肢も出題されています。