利用者本人を確かめる

1誰かの確認と何を許すかは別

ログインは利用者ID（利用者などを見分ける識別子）などで名乗り、パスワード等で本人かを確認して利用を始めることです。認証は誰かを確かめ、認可・アクセス管理は何を許可するかを決めます。IDは識別名であり、それだけで本人の証明にはなりません。

PIN（Personal Identification Number：個人識別番号）は数字の暗証番号です。マトリクス認証では表示される表の位置を覚えて、その位置の文字等を答えます。どちらも秘密を知るという知識要素を使います。

2異なる種類を組み合わせる

利用者認証の要素は、知識（知っている秘密）、所有（持っている物）、生体（身体や行動の特徴）の三種類です。多要素認証は異なる種類を二つ以上組み合わせます。パスワードと秘密の質問は両方知識なので二要素にはなりません。

ICカードや認証端末は所有要素です。SMS（電話番号を使って短文を送受信するサービス）認証は短文を受信できる端末等の所有を利用します。ワンタイムパスワードは一度だけ有効なパスワードで、生成・配送方式を確認します。二回の入力をする二段階と、二種類の要素は同じ意味ではありません。

3入力を減らす認証も管理する

パスワードレス認証はサービスのログインでパスワード入力へ依存しない認証です。端末内の鍵を、生体認証やPINなどで利用可能にする方式があります。「認証しない」という意味ではありません。

SSO（Single Sign-On：シングルサインオン）は一度の認証で複数のサービスを利用する仕組みです。利用しやすくなりますが、共通の認証基盤の保護が重要になります。チャレンジレスポンス認証は毎回の問いに秘密を使って応答する方式で、SSOの別名ではありません。

コールバックは登録済みの相手へ折り返して確認する方法です。

4二つの秘密でも一種類の要素

パスワード、暗証番号、秘密の質問、覚えた表の位置は知識を利用します。知識を二つ求めるだけでは多要素認証になりません。カードやSMSを受け取る端末は所有、顔や指紋、筆記の特徴は生体です。

一回の認証を複数サービスで使うSSOと、問いへの応答を計算するチャレンジレスポンスも別です。認証を行う順番や回数と、要素の種類を混同しないことが大切です。