認証
利用者・プロセス・機器が、名乗ったとおりの相手かを確かめることです（英語では authentication）。
定義
NIST の FIPS 200 などは、認証を「利用者・プロセス・機器の身元（identity）を確かめること。多くの場合、情報システムの資源へのアクセスを許す前提になる」と定義しています。
識別（識別子を示して誰だと名乗ること）の後に行い、認証の結果をもとに
認可（何を許すか）を決めます。
3つの要素
NIST の用語集（CNSSI 4009-2022）は、認証の要素を次の3つに分けています。
| 要素 |
用語集の例 |
| 知識（知っているもの） |
PIN、パスワード |
| 所持（持っているもの） |
暗号を使う識別用の機器、トークン |
| 生体（本人の特徴） |
生体の特徴 |
[[多要素認証]]は、2つ以上の異なる要素を使う認証です（同じ用語集）。パスワードを2回聞くのは、同じ要素を2つ使うだけなので、多要素にはなりません。
フィッシングに強いかどうか
NIST SP 800-63B-4（2025年7月）は、ワンタイムパスワードのように手で入力する方式は、
フィッシング耐性があるとはみなさないとしています。耐性があるのは、認証の結果を接続や接続先の名前に暗号で結びつける方式で、同じ文書は、クライアント認証の TLS を使う方式や、WebAuthn（FIDO2）を例に挙げています（パスキーも WebAuthn を使う方式です）。詳しくは
多要素認証と
中間者攻撃のページにまとめています。
仕組みの例
| 仕組み |
何をするか |
| Kerberos |
社内のネットワークで、チケットを使って利用者を認証する |
| SAML |
組織の間で、認証の結果を受け渡し、シングルサインオンを実現する |
| OpenID Connect |
OAuth 2.0 の上に、ログインの結果（誰がログインしたか）をアプリケーションに渡す仕組みを足したもの。OAuth の認可サーバが、利用者のログイン（認証）も受け持つ |
| 公開鍵による認証 |
秘密鍵を持っていることを示す。鍵の管理が強さを決める（鍵管理） |
''OAuth 2.0 は認証の仕組みではありません。''第三者のアプリケーションに、HTTP のサービスへの限られたアクセスを与える
認可の枠組みです（RFC 6749）。認証には、その上に作られた OpenID Connect などを使います（
認可）。
運用の要点
- パスワードは、使い回しと、漏えいしたものの再利用を防ぐ
- 管理者のアカウントや、外部からの接続の入口には、フィッシング耐性のある方式を使う
- 認証の失敗が続いたときの対処（一時的な停止など）と、その記録を決める。1つのアカウントの停止だけでは、多くのアカウントに少しずつ試す攻撃（パスワードスプレー）は防げないので、アカウントをまたいだ失敗も監視する
- 認証の手段を失ったとき（機器の紛失など）の、本人を確かめ直す手順を、攻撃の入口にしない
関連するページ
出典
確認日：2026年10月16日
最終更新：2026年10月16日 17:53
