ワンタイムパスワードとCAPTCHAとは？

ワンタイムパスワードとCAPTCHAの意味

ワンタイムパスワードは、一度使うと無効になる使い捨てのパスワードで、盗み見や使い回しによる不正ログインのリスクを下げる。CAPTCHAは、歪んだ文字の読み取りなど人間には簡単だが機械（プログラム）には難しい課題を課すことで、自動化されたプログラムによる不正なログイン試行やアカウント作成を防ぐ仕組み。

ワンタイムパスワードとCAPTCHAの具体例

オンラインバンキングで、スマートフォンアプリに毎回異なる6桁の数字が表示され、その数字を入力させる方式はワンタイムパスワードの代表例。

ワンタイムパスワードとCAPTCHAは試験でどう引っ掛けられる？

CAPTCHAが確かめるのは「人間かどうか」であって「本人かどうか」ではないため、認証手段そのものと書かれていれば誤り。ワンタイムパスワードは盗聴やパスワードの使い回しには強いが、リアルタイムに中継される攻撃までは防げない。

ワンタイムパスワードとCAPTCHAと関連する用語

• 利用者認証（多要素認証・バイオメトリクス認証）
• パスワードクラック（辞書攻撃・総当たり攻撃）

ワンタイムパスワードとCAPTCHAが出た過去問

• リスクベース認証の特徴はどれか。

  正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、不正アクセスに対抗し安全性を高める。

  要点：リスクベース認証は普段と違うアクセス時だけ追加認証を求める

  リスクベース認証は、アクセス元のIPアドレス、端末情報、時間帯、位置などから普段の利用パターンとの差異を評価し、リスクが高いと判断した場合にだけ追加の認証（秘密の質問やワンタイムパスワードなど）を要求する方式である。通常時の利便性を損なわずに、なりすましへの耐性を高められる点が特徴である。

  出典：令和1年度 春期 高度共通_午前I試験 am1 問12（IPA）

• 盗まれたクレジットカードの不正利用を防ぐ仕組みのうち、オンラインショッピングサイトでの不正利用の防止に有効なものはどれか。

  正解：3Dセキュアによって本人確認する。

  要点：盗難カードのネット不正利用防止には3Dセキュアが有効

  3Dセキュア（本人認証サービス）は、オンライン決済時にカード会社が別途パスワードやワンタイムパスワードで本人確認を行う仕組みである。カード券面の情報だけでは通過できないため、カードそのものを盗まれた場合のネット上の不正利用を防ぐのに有効である。

  出典：令和3年度 秋期 高度共通_午前I試験 am1 問14（IPA）

• 3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキ…

  正解：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。

  要点：3Dセキュア2.0はリスクに応じて追加認証を行う

  3Dセキュア2.0は、取引履歴や利用端末の情報などをカード会社へ送り、そのリスク評価に基づいて認証方法を変える「リスクベース認証」を採用している。低リスクと判断された取引では追加認証を求めずに決済を通し、高リスクと判断された場合だけワンタイムパスワードなどの追加認証を行う。これにより不正防止と利便性を両立させている。

  出典：令和6年度 春期 高度共通_午前I試験 am1 問12（IPA）