HPE IceWall - 認証・シングルサインオン用語集

認証を行うための方式は次の３つの方式に分類される。１．パスワードやPINなどの記憶（Something you know）による方式、２．セキュリティキーなどの所持（Something you have）による方式、３．生体情報などの本人特性（Something you are）による方式。この分類は、「認証要素」と呼ばれる。多要素認証は認証処理の際にこれらの認証要素の中から、複数の要素を使用して認証を行う方式。
多要素認証として、多くの場合は２つの要素を用いて認証を行うので、多要素認証の代わりに二要素認証と呼ばれることも多い。
英語略称はMFA（Multi Factor Authentication）および2FA（Two Factor Authentication）。

指紋、指静脈、虹彩、声帯、顔などの生体情報を用いる認証方式。
パスワード認証など記憶認証に比べてなりすましのリスクが低い。OTPなどの所持認証に比べてセキュリトークンの紛失や忘れ物で認証ができなくなることもない。その反面、高度な技術で指紋などの複製を作成されてしまった場合に認証情報の変更ができないデメリットや、生体情報の提示によるプライバシーの問題が心配されるケースがある。

Windows Active Directoryドメインにログオンしたユーザーに対してSSOシステムへのログイン操作を不要とする認証方式。
Active Directory環境では、ユーザーが一度PCにログオンすれば、統合Windows認証の仕組みによって同じドメインまたはフォレストに所属するWindowsサーバーへ再度ログインすることなしでアクセスすることができる。
SSOシステムが統合Windows認証と連携すると、LinuxサーバーなどWindowsサーバー以外で構成された業務システムにも再度ログイン操作することなしでアクセスすることができる。

ユーザーが所持するハードウェアまたはソフトウェアで生成したワンタイムパスワードをログイン画面に入力して、サーバー側で生成したワンタイムパスワードと照合することで正規のユーザーであることを確認する認証方式。

パスワード認証に比べて、OTP認証で使用する文字列は毎回変化するため、漏洩のリスクを払拭することができる。

OTP（One-Time Password）。
ワンタイムパスワードは、一度限り使用できる使い捨てのパスワードのこと。端末とサーバーの間で取り決めたロジックに従って、認証に使用するパスワードを認証のたびに生成する。毎回異なるパスワードが生成されるため、万が一他人に知られたとしても、別のタイミングでそのパスワードを使ったなりすましを行うことはできない。

ユーザーが使用する、ワンタイムパスワード（OTP）を生成するためのハードウェア装置やソフトウェア。

ワンタイムパスワードを生成する元になるランダムな文字列（鍵情報）。サーバーとOTPトークンの両者で同じシードを保持することでOTP認証を行う。シークレットとも呼ばれる。
ハードウェアOTPトークンではシードはトークンに製造時に書き込まれており、そのシードをサーバー側に登録する。ソフトウェアOTPトークンの場合は、サーバーで生成したシードをクライアントに読み込ませる方式と、クライアントで生成したシードをサーバーに登録する２つの方式がある。

サーバー側で生成したワンタイムパスワードを登録済みのメールアドレスに送付して、ユーザーがそのワンタイムパスワードをログイン画面に入力することで正規のユーザーであることを確認する認証方式。
電子メールの送受信の仕組みがあれば、OTPトークン等を準備せずとも実現できるメリットがある。
メールOTP認証で送付されるワンタイムパスワードを「認証コード」と呼ぶこともある。

FIDO Allianceおよび W3C WebAuthn仕様にもとづく認証方式。公開鍵暗号を使用して認証を行うので認証強度が高い。
デバイス内で公開鍵と秘密鍵のキーペアを生成し、秘密鍵をデバイス内に保存し、公開鍵をサーバーに送信して登録する。認証時にはサーバーがデバイスにチャレンジを送信して、デバイスが秘密鍵で署名したチャレンジを含むレスポンスをサーバーに返す。サーバーはデバイスから受信したレスポンスを公開鍵で検証して正規のユーザーであることを確認する。

FIDO（Fast IDentity Online）。
業界団体"FIDO Alliance"が策定した生体認証などを利用したパスワードに替わる新しいオンライン認証の標準仕様。
FIDO 1.1規格は、パスワードレス認証のためのUAF（Universal Authentication Framework）と、多要素認証のためのU2F（Universal Second Factor）の2つの方式を定めている。
FIDO 2.0規格（FIDO2）はサーバーとブラウザーの間のやり取りを定めたWebAuthnと、ブラウザーとデバイス（認証器）の間のやり取りを定めたCTAP（Client-to-Authenticator Protocol）の２つの標準規格からなる。FIDO 1.1のUAFはCTAP1と改称されFIDO2の中でも活用可能となっている。

WebAuthn (Web Authentication)。
W3Cが策定したWeb認証の仕様。FIDO認証の仕様のうち、ブラウザーのJavaScriptからアクセスするAPIおよびFIDO Authenticatorのインタフェースおよび動作について規定する。

FIDO認証器の機能を、外付けのセキュリティキーではなく、Windows 10のWindows Hello APIやAndroid OSの中で実装したもの。
FIDOセキュリティキーを準備する必要がなく、OS機能とブラウザー（Windows 10 2004ではEdge、Chrome、Firefox、AndroidではChrome）だけでFIDO認証を利用することができる。

サーバーあるいは外部認証局で発行したクライアント証明書という電子証明書を事前にクライアントに登録し、アクセス時にそれを検証して正規のユーザーであることを確認する認証方式。。
標準的なブラウザーやWebサーバーソフトウェアのSSL/TLS通信に組み込まれた仕組みのため汎用的に使える。
公開鍵暗号を使った方式でなりすましに強く、認証強度が高い認証方式として認知されている。
ただし、証明書の発行や更新といった運用の負荷が高い。また、外部のCA（認証局）が発行した証明書を使用する場合には利用コストが高くなりがちである。

サイト間で認証連携をする仕組み。
正規のユーザーであることを確認するサイト（IdPやOPと呼ばれる）と業務サービスを提供するサイト（SPやRPと呼ばれる）の2つの役割がある。

OpenID Connect（OIDC）。
OpenID Foundationが策定したフェデレーションの標準仕様。OAuthを拡張した仕様。
OIDC仕様はサイト間の認証連携の仕様だけでなく、ユーザーの同意に基づいてリソースへのアクセスを許可する認可の仕様も含む。
OpenID Connect仕様では、正規のユーザーであることを確認するサイトをOP（OpenID Provider）と呼び、サービスを提供するサイトをRP（Relaying Party）と呼ぶ。

SNSなどのソーシャルアカウントによりアプリケーションやWebサービスへのログインを実現する方式。フェデレーションの仕様としてはOIDC（OpenID Connect）またはOAuthが使われる。ユーザーは普段使用しているSNS等のアカウントでシステムにログインできるようになる。コンシューマー向けシステムにおいて、ユーザー登録の利便性が向上するとともに、パスワードなどの認証情報を新たに作成する必要をなくすことができる。