- アカウントの「認証」とは、かんたんに言えば「本人確認」のこと。
たとえば、オンラインサービスを利用する際に、あなたが本人であることを確認するプロセスです。 - 認証の判断材料には「生体情報」「所持情報」「知識情報」の3つの要素があり、それぞれ顔や指紋、ICカード、パスワードなどが使われます。
- 最近は、セキュリティを強化するために、これらの要素を組み合わせた「多要素認証」が推奨されています。
「認証」は、「Authentication」や「Verification」の訳語として使われています。
AuthenticationもVerificationも「正しさを証明するもの」という意味は共通ですが、語源をたどってみると権威（人・社会）によるのか真理（神・自然）によるのかというニュアンスの違いがあるようです。
ただ、現在の実際の用法をみると、必ずしもそれだけですっきり分けられるわけでもありませんが。
1. もともとの「認証」の意味
「認証（Authentication）」は、情報社会以前から存在する概念です。
もともとは、以下のような場面で使われてきました。
- 芸術作品の真贋判定：
美術品や骨董品が本物であることを専門家が鑑定し、証明すること。 - 文書の認証：
契約書、証明書などの文書が正当なものであることを確認し、公的に認めること。 - 身分の確認：
パスポートや運転免許証などの身分証明書によって、本人であることを証明すること。
つまり、「モノやヒトが本物であるかを確かめ、保証する」という意味です。
1-1. オンラインでの「認証」の意味
コンピュータやオンラインサービスの普及に伴い、「認証（Authentication）」の用法は拡張されました。
以下のようなトラブルを想定して対処しないと安全に利用できないからです。
- アカウントの不正アクセス
ユーザーのアカウント情報を守る。 - 機密情報の流出：
重要な情報を扱うシステムでのアクセス範囲を限定する。 - 通信でのなりすまし：
オンラインでの相手が本人であることを互いに確認する。 - ログの管理：
システム内での履歴から問題の原因となるユーザーを特定する。
2. Authenticationは何を確認しているのか？（類語との違い）
「確認する」という意味の言葉には、いろんなものがあります。
漢字で書くとほとんど同じように見えますが、これらの用語の微妙な違いについても整理しておきます。
- Verification（検証）
- Identification（識別）
- Authorization（認可）
- Certification（認定）
- Validation（妥当性確認）
| 用語 | 意味 | Authenticationとの違い1 |
|---|---|---|
| Verification （認証・検証） | 情報や文書の正確性や真実性を確認すること。 | 情報の正確性を検証するが、個人の身元確認は必ずしも行わない。 |
| Identification （識別） | 個人や物の身元を特定すること。 | 対象を識別するのみで、真正性の検証は行わない。 |
| Authorization （認可） | 個人やシステムにアクセス権や特権を付与すること。 | 認証された個人に対して、アクセス権限を付与する。 |
| Certification （認定・証明） | 個人や組織が特定の基準を満たしていることを公式に認めること。 | 一定の基準に適合していることを認定するが、その都度の真正性の検証は行わない。 |
| Validation （妥当性確認） | データやプロセスが正しく、要件を満たしていることを確認すること。 | データの妥当性を検証するが、個人の身元確認は必ずしも行わない。 |
これらと比較してみると、「真正性（authenticity）」というキーワードが浮かび上がってきます。
2-1. Authentication と Verification
ただし、とくに「Authentication」と「Verification」はともに「認証」と訳され、意味・用法に重なりがあります。
たとえば、Googleの「二段階認証プロセス」は、「2-Step Verification」。
一応、微妙に焦点が違っていて、
- Authenticationは、身元や資格が有効なのか
- Verificationは、情報が真実で正確性なのか
を確認することに焦点があります。
ざっくり言えば、Verificationの方が範囲が広いです。
「身元を証明する情報の確認」という場面では重なるわけですね。
2-2. 「Authentication」の語源（自由意志と責任）
「Authentication」や「Authenticity」の語源は、ラテン語と古代ギリシャ語に遡ることができます。
「Authentication」の直接の語源は、ラテン語の形容詞「authenticus」です。
これは、「信頼できる、本物の、権威のある」といった意味を持っています。
「authenticus」は、さらに古代ギリシャ語の「authentikos」に由来し、これは、「authentes」という語から派生したものです。
古代ギリシャ語の「authentes」は、「autos」（自身の）と「hentes」（働き手、実行者）という二つの部分から成り立っています。
「自分自身の意志や権限に基づいて行動する人、主人、支配者」を意味する名詞で、ここから「信頼性」や「権威」という意味が生まれました。
「認証」は、偽物ではないと言い切るための手続きです。
では、どうして偽物ではなく本物であることに価値があるのでしょう？
本物の価値を担保しているのは、「誰が責任を取るか」がはっきりしていること。
ブランドに価値があるのは、そのデザイナーさんが「そのデザインでなくてはならない」理由を説明できるから、というのと似ているね。
これが見た目を真似しているだけでは、理由までは説明できないもん。
2-3. 「Verification」の語源（真理を探求する）
一方、「Verification」の語源を遡ると、ラテン語の名詞「veritas」に行き当たります。
この言葉は、「真実、真理、誠実」などを意味し、古代ローマの哲学や法律の文脈で広く使用されました。
興味深いことに、「veritas」は古代ギリシャ語の「aletheia」（真理、真実）に相当する概念です。
「aletheia」は、「letheia」（隠されている、忘却）に「a-」（否定の接頭辞）が付けられた言葉。
ここでの「真実」とは「隠されていないもの、忘却されていないもの」の意味になります。
つまり、「Verification」の概念は、古代ギリシャの哲学的な真理探究の伝統とも結びついているのです。
Verificationでの本物の価値を担保するのは、「真理」なわけです。
ブランドで言えば、デザインそのものの美しさに説得力がある、って感じだね。
3. 認証のための情報（3要素）
認証で大事なものというと、「パスワード」をイメージしますが、それだけではありません。
- パスワード認証：
あなたが設定したパスワードを入力することで、本人確認を行います。
パスワードは他人に推測されにくい、複雑なものを設定することが大切です。 - メール認証：
サービスに登録した際、あなたのメールアドレス宛に確認用のリンクが送られてきます。
リンクをクリックすることで、メールアドレスが本人のものであることを証明します。 - SMS認証：
あなたの携帯電話にSMSやアプリで届く、ワンタイムコード（一回限りの番号）の入力が求められます。
これにより、セキュリティがさらに強化されます。 - 生体認証：
指紋や顔認証など、あなたの身体的特徴を使って本人確認を行う方法です。
これらに限らず、さまざまな認証方法が考案されています。
認証に使われる情報は、主に3つの要素に分けることができます。
- 生体情報（Something you are）
- 所持情報（Something you have）
- 知識情報（Something you know）
3-1. 生体情報
もっとも基本的な認証情報は、「生体情報」。
いわば「顔パス」は古来から使われてきた方法。
本人の身体的な特徴を利用した認証方法で、顔だけでなく、指紋、虹彩、静脈パターンなどが使われます。
スマートフォンの生体認証
スマートフォンのロック解除でも、指紋や顔の生体認証を使えるようになっています。
めんどうな操作がいらないだけでなく、暗証番号などと違って、周りの人に盗み見られないのがメリット。
生体情報は他人に真似できない固有の情報で高いセキュリティを実現できます。
ただし、変更できないものなので、プライバシーへの配慮も必要です。
神様に与えられた特徴は、人間が同じもの作ることはできないんだね。
3-2. 所持情報
次に、よく使われるのが「所持情報」。
つまり、モノを提示または使用する方法です。
ハンコや証明書などは、権力を示すために重要なモノでした。
水戸黄門の印籠みたいな感じだね。
現代では、ICカードや磁気カード、ワンタイムパスワードを生成するトークンデバイスなどが該当します。
「所持情報」のリスクは、紛失や盗難。
大切に管理する必要があります。
スマートフォンで認証する
スマートフォンそのものも所持情報として利用できます。
登録には、いくつか方法があります。
- 「SMS認証」は、事前に登録された電話番号が固有のモノだからです。
- 端末固有の番号を登録しておけば、端末自体が「パスキー」として使えます。
- あるいは、スマートフォンに「認証アプリ」を設定しておけば、ワンタイムパスワードを生成するトークンデバイスとして代用することもできます。
「印鑑登録」のようなもんだね。
3-3. 知識情報
「知識情報」は、本人だけが知っている情報を指します。
代表的な例としては、パスワードやPINコード、秘密の質問の答えなどがあります。
脳の中は誰にも見えません1。
本人の記憶に基づいているため、他人には知られにくい情報です。
文字を組み合わせるだけで すぐに作れるのがメリットです。
ただし、本人が忘れてしまったり、他人に知られてしまうとかんたんに悪用されてしまう、というのがリスクです。
4. 多要素認証（Multi-Factor Authentication, MFA）
これらの固有の情報は、それぞれ単独でも認証に使うことができます。
しかし、複数の要素を組み合わせれば、より安全です。
現在は「多要素認証（Multi-Factor Authentication, MFA）」が推奨されています。
たとえば、銀行のATMでは、キャッシュカードという所持情報と、暗証番号という知識情報を組み合わせています。
さらに最近は、指紋認証による生体情報が必要なATMもあります。
オンラインサービスでも、サインイン時にパスワードに加えて、送られてくる確認コードを入力する必要がある「二段階認証」が一般的になってきました。
これは、知識情報と所持情報の組み合わせです。
