応用情報科目A 20：利用者認証・MFA・生体認証・認可・アクセス制御

AP科目A・第20回 · 2026年度・シラバスVer.7.2に基づく独立した学習資料です。IPAとの提携はなく、合格を保証しません。シリーズ一覧を見る

2026年試験基準 · 改訂／出典確認 2026-10-21

学習インデックス

公式範囲と用語 2. 認証要素とMFA 3. OTP・チャレンジレスポンス・SSO 4. 認証と認可 5. 最小権限・職務分掌・RBAC 6. アクセス判断トレース 7. 生体FAR/FRR 8. パスワード保存と通信 9. 試験の罠 10. クイックシート・復習 11. 問題

1. 公式範囲と用語

IPA Ver.7.2では、ソフトウェア > オペレーティングシステムの運用管理・利用者管理は PDF 29／印刷面25、組織的脆弱性としての不十分な職務分掌は PDF 53／印刷面49、認証・利用者認証・生体認証は PDF 55／印刷面51、アカウントと利用者アクセス権の管理は PDF 56／印刷面52である。PDFページと印刷面ページは別の番号である。AP19の暗号内部・証明書チェーンは繰り返さず、攻撃カタログと運用上の防御はAP21に送る。

KO	JA	EN
인증	認証	authentication
인가	認可	authorization
지식 요소	知識要素	knowledge factor
소유 요소	所有要素	possession factor
생체(고유) 요소	生体要素	inherence/biometric factor
다요소 인증	多要素認証	multi-factor authentication (MFA)
일회용 비밀번호	ワンタイムパスワード	one-time password (OTP)
싱글 사인온	シングルサインオン	single sign-on (SSO)
최소 권한	最小権限	least privilege
직무 분리	職務分掌	separation of duties
역할 기반 접근 제어	ロールベースアクセス制御	role-based access control (RBAC)
타인 수락률 / 본인 거부율	他人受入率／本人拒否率	FAR / FRR

2. 認証要素とMFA

知識は利用者が知っているもの、すなわちパスワードやPINである。
所有は利用者が持つ登録済み認証器・セキュリティキー・OTP機器の制御を証明する。アカウント名を知るだけでは所有ではない。
生体／固有は指紋や顔など、利用者の身体的特徴である。

パスワードの後にPINを入力する方式は2段階だが、両方とも知識なので真のMFAではない。パスワードと登録済みセキュリティキーの所有証明は異なる要素分類なのでMFAである。画面数ではなく独立した要素分類を数える。一つの多要素認証器が内部で二要素を要求する場合もあり、「認証器一つ＝要素一つ」とも限らない。多段階認証は順番のある手続を表すだけで、異なる分類を要求するときに限ってMFAとなる。

3. OTP、チャレンジレスポンス、SSO

OTPは一回だけ、または短時間だけ有効な秘密値である。OTP機器の制御証明は通常、所有要素になるが、OTPという名前だけでログイン全体がMFAになるわけではない。
チャレンジレスポンスでは検証者が新しいチャレンジを渡し、認証器が秘密／鍵を制御していることを示す応答を作る。固定パスワードをそのまま再送する方式とは異なる。
SSOは一度の認証・セッション、または連携IdPのアサーションを複数サービスで使う。再ログインを減らすが、各サービスの認可判断まで同じにはしない。セキュリティトークンはアサーションを運べる。

以上は試験レベルの機能説明である。暗号内部はAP19、攻撃・運用防御のカタログはAP21の範囲とする。

4. 認証と認可

認証は、申告者が主張する身元または認証器を制御していることを確立する。認可は、その身元コンテキストまたは別のポリシーコンテキストを使い、どの資源にどの操作を許すか決める。認証成功は全操作の許可ではない。公開資料の匿名閲覧をポリシーで許す例のように、概念上は認証なしでも認可判断があり得る。

合成利用者Minaがログインに成功しても、purchase:createしかなければ購買依頼は作成できるが承認できない。承認は別の認可判断である。

5. 最小権限、職務分掌、RBAC

最小権限／need-to-knowは業務に必要な操作・資源・期間だけを付与する。
職務分掌は重要取引を相反する役割に分け、一人で全工程を完了できないようにする。
RBACは権限をロールに、利用者をロールに割り当てる。ロールには制約や相互排他性を設定できる。

購買例では依頼者ロールに作成、承認者ロールに承認を与え、同一取引で一人が両方をしてはならない。RBACを採用しただけで最小権限や職務分掌が自動保証されるわけではない。過大なロール、競合する割当て、取引単位の制約漏れをポリシーと設計で防ぐ必要がある。

6. アクセス判断トレース

合成取引 PO-204、金額800,000ウォンに次のポリシーを適用する。

Minaがパスワードと登録セキュリティキーで認証する。知識＋所有のMFA成功。
ディレクトリはMinaをRequesterに対応付け、ロールはpurchase:createだけを持つ。
MinaがPO-204を作る。必要権限があるので許可し、作成者=Minaを記録する。
Minaが同じ取引を承認しようとする。purchase:approveがないので拒否する。
ApproverのJunが認証して承認する。承認権限があり作成者とも異なるので許可する。
JunがRequesterも兼ねても、「同一取引の作成者と承認者は異なる」という動的職務分掌制約を別途検査する。

この判断は認証結果、ロール権限、資源／操作、取引状態、職務分掌制約を組み合わせる。

7. 生体認証のFARとFRR

まず規約を宣言する。ここでは高いほど似ている類似度スコアとし、score >= しきい値 Tなら受理する。同一の固定データ・母集団・取得条件でTを上げると厳しくなり、測定FARは増加せず（非増加）、FRRは減少しない（非減少）。Tを下げると方向は逆になる。小さいほど近い距離スコア方式では、受理の不等号もしきい値方向も逆である。

他人試行100,000回中20回を誤受理：FAR = 20 / 100,000 = 0.0002 = 0.02%。
本人試行2,000回中30回を誤拒否：FRR = 30 / 2,000 = 0.015 = 1.5%。

分母が異なるのでFARとFRRを加算しない。分数・小数・百分率は独立に確認済みである。EERは定義された一つの試験でFARとFRRが等しくなる運用点であり、普遍的な定数ではない。数値は合成集計で、実在する個人・生体データではない。

8. パスワード保存と通信保護

保存時はパスワードごとに固有のランダムsaltを作り、PBKDF2、bcrypt、scrypt、Argon2などのパスワード向け低速／適応型KDFでverifierを計算する。saltはverifierと保存し、秘密である必要はない。ログイン時に同じsaltと設定で再計算して比較する。例示アルゴリズムは普遍的な一つのパラメータを処方するものではなく、選択はポリシーと環境による。

TLSなどの通信暗号化は移動中の資格情報を守るが、保存時のsalt付き低速verifierを代替しない。verifierも通信保護を代替しない。復号可能なパスワード保存暗号はsalt付き低速verifierの代替ではない。ハッシュ・暗号内部はAP19の範囲である。

9. 試験の罠

段階数と要素分類数を混同しない。パスワード＋PINは2段階1要素である。
認証成功と権限付与を混同しない。SSOもサービス別認可をなくさない。
RBAC自体が最小権限・職務分掌を自動保証するとはしない。
類似度か距離か、受理の不等号は何かを先に確認する。
FARの分母は他人試行、FRRの分母は本人試行である。
TLSと安全な保存は経路の別部分を保護する。

10. クイックシート、セルフチェック、1/3/7日復習

クイックシート：知識=パスワード/PIN、所有=登録機器/キー、生体=指紋/顔。認証=誰／制御、認可=何を許す。RBAC=利用者→ロール→権限。類似度はscore>=Tを受理し、T↑ならFAR↓/同じ、FRR↑/同じ。
セルフチェック：パスワード＋PINがMFAでない理由、SSOと認可の違い、購買トレースの二つの拒否条件、FAR/FRRの分母、saltとTLSの別の役割を説明できるか。
1日目：要素表とアクセス追跡を書き直す。3日目：数値例としきい値方向を見ずに計算する。7日目：全5問を解き直し、全誤答理由を説明する。

11. オリジナル4択5問

Q1

真のMFAはどれか。アパスワードの後に別のパスワード。イ PINの後に秘密の質問の答え。ウパスワードと登録セキュリティキーの所有証明。エ同じパスワードを二画面に入力。

正解：ウ(3)。 アは知識＋知識。イも知識＋知識。ウは異なる知識＋所有。エは画面が増えただけで一つの知識である。

Q2

認証と認可について正しいものはどれか。アログイン成功で全資源を利用できる。イ認証は身元／認証器制御を確立し、認可は許可する操作・資源を決める。ウ認可は必ずパスワードを検査する。エ SSOは全サービスの権限を同一にする。

正解：イ(2)。 アは認証を全権と誤解する。イは二つの判断を正しく区別する。ウは認可と認証手続を混同する。エは共通ログインとサービス別ポリシーを混同する。

Q3

類似度score >= Tを受理し、固定試験で他人100,000回中20回受理、本人2,000回中30回拒否した。正しいものはどれか。ア FAR 0.2%、FRR 15%で、Tを上げると両方低下。イ FAR 0.02%、FRR 1.5%で、Tを上げると両方増加。ウ FAR 1.5%、FRR 0.02%で、Tを上げるとFAR増加。エ FAR 0.02%、FRR 1.5%で、Tを上げるとFARは非増加、FRRは非減少。

正解：エ(4)。 アは両率を10倍にし方向も誤る。イは数値は正しいがFAR方向が誤る。ウは分母を交換し方向も誤る。エは計算と類似度しきい値方向が正しい。

Q4

購買RBACと職務分掌として最適な設計はどれか。ア作成を依頼者、承認を承認者ロールに与え、同一取引の作成者と承認者が異なる制約も検査する。イ全ロールに両権限を与えればRBACが自動分離する。ウ一人に両ロールを与えれば自動的に最小権限となる。エ認証後はロール検査を省略する。

正解：ア(1)。 アはロール権限と取引制約を併用する。イは自動保証を誤って仮定する。ウは過大権限と競合を無視する。エは認証と認可を混同する。

Q5

パスワード保護として正しいものはどれか。ア TLSがあればサーバで平文保存してよい。イ全パスワードに同じsaltを使い、高速ハッシュ一回で十分。ウパスワード別ランダムsaltと低速／適応型KDF verifierを保存し、通信には別途TLSを使う。エ復号可能な保存暗号は常にverifierよりよい。

正解：ウ(3)。 アは保存時の危険を残す。イは固有saltと意図的コストを欠く。ウは保存と通信を別々に守る。エは復元可能な保存を代替と誤解する。

正解表：[3, 2, 4, 1, 3] = [ウ, イ, エ, ア, ウ]

公式出典と告知

一次出典、2026-10-21確認：IPA syllabus Ver.7.2、NIST SP 800-63B-4、NIST SP 800-63C-4、NIST SP 800-53 Rev.5 Update 1。NIST RBAC projectは保管済み（archived）の基礎プロジェクトページであり、ここでは利用者→ロール→権限モデルの背景だけに用いた。

本稿は独立執筆の学習資料で、IPA・NISTと提携していない。過去問題、第三者解説、実在する個人・生体データを使用せず、合格を保証しない。