認証

わかりやすかった記事はこちらです。

日本語の「認証」

広辞苑での「認証」に関する記載をもとに、以下の分類が行われており、非常にわかりやすい整理だと感じました。

個人的にはマイナンバーの例から、ネットワークの例を想起しました。

	現実の世界	ネットワークの世界
公の機関による証明（Certification）	新潟市民が役所でマイナンバーカードを発行してもらう	ドメインの所有者が認証局（CA）からSSL/TLS証明書を取得する
本人確認（Identity Proofing）	新潟市民が北陸銀行でマイナンバーカードを提示することで、（役所が発行した身分証を持つ）本人であることを示す	ドメインの所有者はWebサイト上でDV証明書が表示されていることによってドメインが認証されていることを示す

「ユーザ認証」とは、「ユーザの識別」と「身元の検証」
- システムを利用しようとしているユーザを、システムに登録済みのユーザかどうか（ユーザ名等によって）識別し、ユーザが主張する身元を検証する（パスワード等によって）プロセス。

※ 実際はユーザ認証のプロセスに「ユーザの有効／無効状態の確認」、「検証に成功した場合の身元の保証（アクセストークンの発行等）」なども含まれる。

身元の検証に必要なデータを保管・生成するためにユーザが所持している具体的な手段。
例えば、パスワード、PINコード、指紋、スマートカード、USBトークン等。

※ 「2段階認証」は（おそらく）日本でのみ使われる方言
※ 同分類の認証要素を2つ使う場合は単要素認証となり、セキュリティ強度的にはあまり意味がない

ここからはついでで、『「認証」を整理する』記事と同様のフォーマットで、ChatGPTに厳密な定義を求めたところ、以下のリンクを参照して作成してくれたものです。

１適当と認めて、許可すること。
２公の機関（行政庁）が第三者の行為を補充して、その法律上の効力を完成させる行政行為。「保育所の設立を—する」→許可

デジタル大辞泉 - 小学館
https://www.weblio.jp/content/%E8%AA%8D%E5%8F%AF

そのほかの例:

「ユーザ認可」とは、「アクセス権の確認」と「リソースの制限」
- システムを利用しようとしているユーザが、システム内の特定のリソースや機能にアクセスする権限を持っているかどうかを確認し、適切なアクセス制限を適用するプロセス。

※ 実際はユーザ認可のプロセスに「アクセスレベルの適用」、「アクセス記録の保持」、「ポリシーの適用」なども含まれる。
※ ISO/IEC 27001:2013 では、認可は情報セキュリティ管理システムの一部として、組織の情報資産を保護するためのアクセス制御の手段と定義されている。

ユーザは特定のロール（役割）に割り当てられ、そのロールに基づいてアクセス権が決定される。
例えば、管理者、編集者、閲覧者等。

ユーザやリソースの属性に基づいてアクセス権が決定される。
例えば、ユーザの役職、部門、プロジェクトの状態等。

簡単ににまとめると、認証はWebサイトのログイン、認可はAWSやGoogle CloudのIAMで行われることのイメージそのものですね。