高校情報I 認証と認可—本人の確認と操作の許可を表にして境界を説明する｜武蔵野個別指導塾

編集担当と閲覧担当の権限を表にし、認証の結果と対象別の操作許可を照合して実行の可否を判定します。

ログインに成功しても、変更できる記録は権限によって決まります。よくあるのは、高校生が共同で使う記録にログインできれば、どの記録も変更できると思い込むという場面です。本人を確かめる認証と、対象への操作を許す認可を分けると、その境界を表せます。

問いの型は、確認手段を知識・所持・生体に分類するもの、担当と操作の表を作るもの、認証や権限の条件を変えて結果を追うものです。以下の記録や担当は学習用に作った条件です。実際のサービスの設定画面を再現したものではありません。

本人の確認と操作の許可を分ける

認証は、利用者が名乗った本人であるかを、あらかじめ登録された情報などと照らして確かめる手続きです。利用者名を入力しただけでは、本人確認が終わったとはいえません。入力した情報が一致しない場合や確認が完了しない場合は、認証に成功したという前提で先へ進めません。

認可は、確認された利用者に対し、ある対象へのある操作を許すかを決めることです。対象は記録やファイル、操作は閲覧や編集などです。同じ利用者でも対象が違えば許可が違うことがあり、同じ記録でも閲覧は許されて編集は許されないことがあります。誰に、何への、どの操作を許すのかを一組で考えます。

図1のように、本人確認の後に、対象と操作を指定して許可を判定します。表に許可があっても認証に失敗した要求を通すとは限りません。ここで扱う学習用の仕組みでは、認証に成功し、かつ表に許可がある場合に操作を実行します。

図1の入口にある名前は、誰として扱うかを示します。本人確認の結果が成功でも、その後の許可判定が失敗すれば操作は実行されません。反対に、許可表に名前があっても本人確認が成立しなければ、その名前の人として操作を進めません。

本人確認に使う要素は、知っていること、持っているもの、身体の特徴という観点で整理できます。パスワードや秘密の質問の答えは知識、本人が持つ認証用の機器は所持、指紋などは生体の例です。機器を持っていることの確認と、そこへ表示された情報を知っていることをどう扱うかは、その仕組みの条件を確認します。

多要素認証は異なる種類の要素を組み合わせる考え方です。パスワードと秘密の質問は質問が2つでも、どちらも知識に分類されます。この2つを使ったという事実から、知識と所持の2種類を使ったとはいえません。知識と所持を組み合わせても、確認の具体的な仕組みや管理の状態まで無条件に安全と断定することはできません。

権限表では、行に担当、列に対象と操作を置きます。表の記号の意味と、空欄をどう扱うかも先に決めます。以下では「可」が許可、「不可」が不許可で、空欄は許可の根拠にしません。表はルールを読み取るための模型であり、実際のシステムのすべての細部を示すものではありません。

基本例題：共同記録の権限を作る

文化祭の準備記録を扱うとします。編集担当は準備記録を閲覧し、編集できます。閲覧担当は準備記録を閲覧できますが、編集はできません。両担当とも本人確認に成功した場合だけ表を使うものとします。権限表を作り、編集担当の編集と閲覧担当の編集が実行されるか、理由とともに答えてください。

まず、対象を準備記録に固定します。次に、行を編集担当と閲覧担当に分けます。列は閲覧と編集に分け、問題文の条件を1つずつ入れます。

編集担当の編集は、本人確認が成功し、編集欄も可です。したがって実行されます。閲覧担当の編集は、本人確認は成功していますが、編集欄が不可です。したがって実行されません。閲覧担当の閲覧欄は可なので、編集の拒否から閲覧も拒否されると考えてはいけません。

図2のように、同じ記録でも担当と操作の組で結果が分かれます。表を問題文に戻して照合すると、編集担当には閲覧と編集の両方があり、閲覧担当には閲覧のみがあります。これで条件を落とさず表にしたことを確かめられます。

認証が失敗した場合も試します。編集担当を名乗った入力が一致しないなら、表の編集欄が可でも本人として確認できていません。この学習用の条件では編集を実行しません。表に可があることと、実際にその人として確認できたことは別々の条件です。

確認の途中で時間切れになった場合も、成功という結果が返っていない点に注目します。認証が成立したことにせず、操作を実行しません。確認をやり直すかどうかは仕組みの条件に従います。時間切れは本人でないと証明した結果とも区別します。

標準例題：対象を増やして判定する

展示の係が、案内記録と集計記録を使います。案内担当は案内記録を閲覧・編集でき、集計記録は閲覧のみできます。集計担当は案内記録を閲覧のみでき、集計記録を閲覧・編集できます。本人確認に成功し、表で可の操作だけを実行する条件です。両担当の表を作り、案内担当による集計記録の編集と、集計担当による集計記録の編集を判定してください。

対象と操作を組にして4列を作ります。問題の条件を案内担当の行から入れ、次に集計担当の行を入れます。

案内担当が集計記録を編集する要求は、認証成功後に、案内担当の行と集計の編集列を照合します。交点は不可なので実行しません。集計担当の同じ操作は、集計担当の行と集計の編集列が可なので実行します。対象が同じでも担当が変われば結果が変わります。

逆に、案内担当の案内記録の編集は可です。集計記録の編集が不可だからといって、その人の編集操作を一律に不可にすると条件を変えてしまいます。各行を元の条件へ戻すと、案内担当が編集できるのは案内記録、集計担当が編集できるのは集計記録です。閲覧は両担当とも両記録で可です。

今度は、集計担当を名乗る人の確認が失敗した場合を考えます。表の該当欄は可ですが、本人確認に成功していないので編集は実行しません。確認装置から結果が返らず時間切れになった場合も同様に成功とは扱いません。失敗と未完了は原因が異なるため、記録するときは区別します。

表が壊れて担当欄を読めない場合も考えます。可の欄を推測して操作を通すのではなく、この条件では許可を確認できないため実行しません。表の復旧後に、本人確認の状態と要求された対象・操作を改めて照合します。外部の確認サービスが利用できない場合も、成功の応答がない限り認証成功とはみなしません。

発展例題：担当変更と確認方法を追う

資料係の美咲さんは、当初は閲覧担当です。資料記録は閲覧担当なら閲覧のみ、編集担当なら閲覧と編集が許されます。途中で美咲さんの担当を編集担当へ正式に変更し、権限表へ反映します。本人確認はパスワードと認証用の機器の所持で行い、両方の確認が成功したときだけ成功とします。変更前後の編集の可否と、要素の種類を答えてください。

変更前は閲覧担当の行を選びます。資料記録の編集欄は不可なので、本人確認に成功しても編集できません。変更後は反映された編集担当の行を選びます。編集欄が可なので、本人確認にも成功していれば編集できます。

パスワードは知識、機器の所持は所持に当たります。異なる2種類を使うため、条件どおり両方を確認する方式は多要素認証です。パスワードと秘密の質問の答えに置き換えた場合は、どちらも知識なので、この分類では異なる要素の組合せになりません。

担当変更の指示が出ても、表への反映が未完了ならどうなるでしょうか。ここでは実際に使われる表の反映前の行で判定すると条件を定めます。そのため、編集担当への変更予定があるだけでは編集を実行しません。変更後の表が読めることを確かめてから、改めて担当と操作の交点を調べます。

また、パスワードが一致しても機器の確認に失敗した場合、2つの成功という条件は満たしません。機器の確認が時間切れの場合も、成功したとはいえません。本人確認の途中で権限表を見て編集欄が可だったとしても、本人確認を省略する根拠にはなりません。

反映後の表に同じ担当について矛盾する記載があれば、どちらかを都合よく選ばず、表の内容を確定してから判断します。変更前後の担当、使った表、対象と操作、認証結果を分けて記録すれば、どの段階が未完了だったかを追えます。これは可否を考えるための条件整理であり、特定の製品の実装を示すものではありません。

誤答を直す：ログイン成功を編集許可にしない

「閲覧担当はログインに成功したので、準備記録を編集できる」という答えを考えます。基本例題の表では閲覧担当の編集欄は不可です。認証の成功を、編集の許可に置き換えたことが誤りです。

図3のように、認証成功の後で閲覧担当の行と編集の列を照合します。交点が不可なので「本人確認は成功したが、編集は許可されない」と直します。閲覧欄は可ですから、閲覧まで禁止だと直すのも条件に合いません。

別の誤りは「パスワードと秘密の質問は2つあるから多要素だ」とすることです。数えたいのは入力回数ではなく要素の種類です。両方とも知識なので、所持や生体を組み合わせたとはいえません。確認手段の名前を並べた後、それぞれの種類を横に書くと判定できます。

確認の失敗をすべて同じ理由で説明するのも避けます。情報が一致せず認証が失敗した場合、認証は成功したが権限が不可の場合、確認が時間切れで未完了の場合では、止まった位置が違います。この学習用の仕組みではいずれも要求された操作は実行されませんが、その理由を分けて説明できます。

練習：条件を表に戻す

次の5問はそれぞれ独立しています。可否は「実行する」または「実行しない」で答え、理由も書いてください。明示された条件以外の権限はないものとします。

1. 掲示記録について、掲示担当は閲覧・編集が可、確認担当は閲覧のみ可です。確認担当が本人確認に成功して編集を要求しました。編集の可否を答えてください。
2. パスワード、秘密の質問の答え、指紋をそれぞれ知識・所持・生体に分類してください。最初の2つの組と、パスワードと指紋の組が異なる種類を使うかも答えてください。
3. 点検記録は点検担当が閲覧・編集でき、報告記録は閲覧のみできます。報告担当は点検記録を閲覧のみでき、報告記録を閲覧・編集できます。4列の表を作り、報告担当の点検記録の編集を判定してください。本人確認は成功しています。
4. 予約記録の編集権限がある担当を名乗る人について、パスワードは一致しましたが、所持の確認が時間切れでした。両方が成功した場合に認証成功とする条件で、編集の可否と、止まった段階を答えてください。
5. 整理担当が目録の閲覧と編集を許されている表で、担当名の欄が壊れて読めません。本人確認は成功していますが、使える表で担当を照合できない場合は許可しない条件です。編集の可否と、復旧後に確認する項目を答えてください。

練習の答えと解き方

1. 実行しません。確認担当の閲覧は可ですが、編集は不可です。本人確認の成功は担当を確認した結果であり、編集欄を可に変えません。掲示担当の行と取り違えないよう、要求者と操作を問題文へ戻して照合します。

2. パスワードと秘密の質問の答えは知識、指紋は生体です。最初の2つは同じ種類で、パスワードと指紋は異なる種類です。入力が2回あるかではなく、それぞれ何を根拠に確認するかで分類します。指紋を所持とするのは、身体の特徴と持ち物を混同しています。

3. 表は次のとおりです。報告担当の点検記録の編集は実行しません。該当する行と列の交点が不可だからです。

元の条件に戻すと、両担当とも両記録を閲覧でき、点検担当は点検記録、報告担当は報告記録を編集できます。対象の異なる編集欄を取り違えずに表へ写せています。

4. 実行しません。所持の確認が未完了なので、本人確認の段階で止まります。権限がある担当を名乗っていても、両方の成功という条件を満たしていません。時間切れを不一致と同じ原因と決めつけず、確認が完了していないと説明します。

5. 実行しません。本人確認は成功していますが、壊れた表では要求者の担当と編集の許可を照合できません。復旧後に担当、目録という対象、編集という操作、本人確認の状態を照らし合わせます。表が読める状態で整理担当の編集欄が可と確認できれば、条件に従い実行できます。

覚えておくこと

• 認証は本人の確認、認可は対象への操作の許可です。
• 知識・所持・生体を区別し、同じ種類の確認を増やしても異なる要素にはなりません。
• 担当、対象、操作の交点と認証結果を別々に調べます。
• 失敗や未完了、表を読めない場合は、与えられた条件に戻って判定します。

権限表を読むときに担当の行は選べても対象の列を飛ばすなら、操作を声に出して交点を指す練習が有効です。個別指導では、本人確認に成功した場合と時間切れの場合を並べ、どこで判定が止まったかを説明してもらいます。最後に、同じ人が別の記録を編集する要求へ条件を移し、認証と認可の境界を確かめます。