リスクベース認証とは？

リスクベース認証の意味

ログイン時の状況（IPアドレス、地域、端末、時間帯、行動の癖など）を普段の傾向と比べ、不審と判断したときだけ追加の認証を求める方式。利用者の手間を増やさずに、なりすましのリスクが高い場面だけ防御を厚くできるのが狙いである。

リスクベース認証の具体例

いつもの自宅PCからのログインはID・パスワードだけで通す一方、海外のIPアドレスや初めての端末からの接続では、メールに送った確認コードの入力や秘密の質問を追加で要求する、といった制御を行う。

リスクベース認証は試験でどう引っ掛けられる？

常に複数要素を求める多要素認証とは別物で、リスクベース認証は「条件付きで追加する」点が特徴。また判定材料が使えない環境では効果が落ち、単独で多要素認証の代わりになるわけではない。

リスクベース認証と関連する用語

• 利用者認証（多要素認証・バイオメトリクス認証）
• ワンタイムパスワードとCAPTCHA
• チャレンジレスポンス認証

リスクベース認証が出た過去問

• リスクベース認証の特徴はどれか。

  正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、不正アクセスに対抗し安全性を高める。

  要点：リスクベース認証は普段と違うアクセス時だけ追加認証を求める

  リスクベース認証は、アクセス元のIPアドレス、端末情報、時間帯、位置などから普段の利用パターンとの差異を評価し、リスクが高いと判断した場合にだけ追加の認証（秘密の質問やワンタイムパスワードなど）を要求する方式である。通常時の利便性を損なわずに、なりすましへの耐性を高められる点が特徴である。

  出典：令和1年度 春期 高度共通_午前I試験 am1 問12（IPA）

• 3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…

  正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。

  要点：3Dセキュア2.0はリスクに応じて追加認証を行う

  3Dセキュア2.0は、取引履歴や利用端末の情報などをカード会社へ送り、そのリスク評価に基づいて認証方法を変える「リスクベース認証」を採用している。低リスクと判断された取引では追加認証を求めずに決済を通し、高リスクと判断された場合だけワンタイムパスワードなどの追加認証を行う。これにより不正防止と利便性を両立させている。

  出典：令和6年度 春期 高度共通_午前I試験 am1 問12（IPA）