ユーザ認証

ユーザ認証には，一般にユーザ ID とパスワードを用いることが多い．しかし，ユーザ ID とパスワードのみによる認証には，脆弱なパスワードの設定やパスワードの盗難などによるなりずましの危険性がある．そのため，セキュリティを重視する銀行などのオンラインサービスを中心にユーザ認証の強化が進められている．

ワンタイムパスワード認証

ワンタイムパスワード (OTP:One Time Password) は，パスワードを一度きりの使い捨てにし，認証が必要なシステムにアクセスするたび毎回異なるパスワードを使う方式である．万一パスワードが盗み見られても，次回はそれを使わないので安全性が保たれる (→ ワンタイムパスワード)．

ワンタイムパスワードを生成するために，以下のようなパスワード生成機が利用される．

ハードウェアトークン
ワンタイムパスワードを表示するための機器でである．ボタンを押すと液晶画面にワンタイムパスワードが表示される．
ソフトウェアトークン
ワンタイムパスワードを表示するための PC/端末用のアプリケーションである．
マトリクス認証
毎回異なる数字や文字がランダムに碁盤目状に並ぶ表(マトリクス表)を用いる．この中で，特定の位置にある文字 (左上から V 字型に並ぶ文字など) を選びパスワードとする．2次元の表の中に配置された文字や数字の位置情報を認証のために用いる方式である．
毎回異なる表を用いる代わりにユーザ毎に異なる固定の表を用い，サーバから表の位置情報が複数提示されその位置にある文字を入力する方式もある．

リスクベース認証

概要
リスクベース認証は，リスク・レベルを各ログイン・リクエストに割り当てることで，従来のパスワード・ベースのシステムを強化する多要素認証システムである．各アクセス・リクエストに関連づけられたリスクを判断，評価し，普段と異なる環境からのアクセスと判断した場合に，ユーザ ID・パスワードによる認証に加え，合言葉 (秘密の質問と答え) などによる追加認証を行う．リスクベース認証は，第三者のなりすましによる不正アクセスを防止するセキュリティ対策になる．
リスクの判定
リスクベース認証は，ユーザの行動をサーバが分析し通常通りのアクセスか，それとも不審なところがあるリスクの高い (不正アクセスの可能性が高い) アクセスか否かを判定する．リスクの判定には，次のような情報が使われる．
- ユーザーがアクセスしてきた端末，日時や場所，頻度といった情報を分析する．
  「通常使うのは自宅のパソコン」，「海外からは利用しない」など，ユーザの行動はパターン化され，そこから外れた行動は異常行動と見なすことができる．また，「自宅からアクセスした直後に海外からアクセス」といった通常では不可能な行動を検知する．
- Cookie によるデバイス識別に加え，IPアドレス情報や接続速度，アカウントに関するアクティビティなどの要素を測定する．
- リスク判定に用いられるリスクエンジンには，ユーザーのデバイスや行動パターンに関連した情報をを蓄積し，自己学習して判定の精度を高めていく機能を持つものもある．
追加認証
リスクの高いアクセスと判定された場合は，次のような追加認証を行い，ログインの可否を決定する．
- 事前にユーザにより登録された「秘密の質問と答え」による認証を行う．
- 指定のメールアドレスに送付する「On-Demandトークン」による認証 (ワンタイムパスワード認証)を行う．

生体認証

生体認証 (バイオメトリクス認証) は，人間の身体的特徴（生体器官）や行動的特徴（癖）の情報を用いて行う個人認証技術である．暗証番号やパスワードなどに比べて，原理的に極めて「なりすまし」にくい認証方式である．何らかの端末装置が必要であり，銀行端末や部屋の入り口などに主に使われる．

身体的特徴（主に静的な情報）を利用する方式として，以下が代表的である．

指紋
指の指紋の特徴点で識別する方法．犯罪捜査にも用いられ，手軽だが信頼性の高い認証方式である．
静脈
手指の静脈パターンの情報で認識する方法
掌形
手のひらの幅や，指の長さなどを用いて認証する方法
網膜
目の網膜の毛細血管のパターンを認識する方法
虹彩
虹彩パターンの濃淡値のヒストグラムを用いる認証方式
顔
顔の輪郭，形，配置などにより認識する方式．眼鏡や顔の表情，加齢による変化などによって認識率が低下する可能性がある．

秘密の質問と答え

インターネットのオンラインサービスにユーザ登録する場合，ID とパスワードに加えて「秘密の質問と答え」の登録を要求されることがある．パスワード等を忘れた際のリカバリー方法などとして使われることが多い．

利用目的
「秘密の質問と答え」の利用目的には，次のようなものがある．
- 第二パスワード
  「秘密の質問と答え」がパスワードと同等の機能を持つ．
  パスワードのリセット (再設定)，アカウントロックの解除などが可能になる．直接，「秘密の質問と答え」により権限が取得でき，秘密の答えが漏れた場合の危険度が高いため，この利用形態は少ない．
- パスワードリマインダ
  利用者がパスワードを忘れた際に，メールなどでパスワードを再設定する情報を通知する際の本人認証に使われる．秘密の質問の答えを入力すると，登録されたユーザのメールアドレスに向けてパスワード変更専用の URL や仮パスワードなどの情報が通知される．
  メールアドレスの改竄やメール盗聴がされていない限りは安全である．
- リスクベース認証
  リスクベース認証においてリスクがあると判定された場合に，追加認証として秘密の質問に対する答えを要求する．第三者のなりすましによる不正アクセスを防止するセキュリティ対策となる．
設定方式
- 質問選択方式
  あらかじめ用意されている質問から指定された数 (3つ程度) 選択して回答を設定する．一般的には，この方式が多い．
- 自由設定方式
  質問を任意に指定された数 (3つ程度) 設定した後，それぞれに回答を設定する．
利用上の注意
「秘密の質問と答え」には，他人に予測しにくいものを選ぶことが原則である．
「秘密の質問と答え」の利用に関する一般的な注意点としては，
- 「秘密の質問と答え」がどういう目的に使われるのかを理解すること．直接，パスワードの代わりになるような場合，パスワードと同程度かそれ以上の回答の困難さが必要であり，「秘密の質問と答え」の設定には十分注意すること．
- 秘密の質問の答えを忘れた場合，あるいは変更ないしリセットしたい場合の手段を確認しておくこと．
  修復用メールアドレス (主メールアドレスとは別に設定) を用いて秘密の質問の答えリセットすることができるシステムがある．修復用メールアドレスは，セキュリティ上の問題が発生した場合に，本人確認を行って情報をリセットするためのリンクを送信するものであり，事前にこれを設定しておくと良い．
- 秘密の質問に対する回答にパスワードロックが無い (何回でも入力が可能) なシステムは，総当たり攻撃が可能で危険である．
質問に対する答えの設定に関する注意点としては，
- システム側から提示される既定の質問から選ぶ場合（出身高校の名前，ペットの名前など），本人のことを良く知っている人には，答えが分かることがある．このような場合，質問とは直接関係のない答えを設定するのも一つの方法である（質問から本人のみが連想できる数値や文章など）．