認証

📖 もうちょい詳しく

何が新しいの？

認証は、アクセスしてきた相手が「本当にその人か」を確かめるしくみです。
インターネット上では、画面の向こうにいる相手の顔は見えません。だからこそ、サービス側は「あなたは本当に登録した本人ですか？」と確認する必要があります。ログイン画面でIDとパスワードを聞かれるのは、まさにこの本人確認のためです。

スマホのロック解除、ネットバンキング、会社のシステムなど、大切な情報を守る場面ではかならずこの認証が入口に立っています。

どうやって動いてるの？

認証では、本人だけが示せる「証拠」を使って確かめます。
証拠は大きく3種類に分けられます。本人だけが知っていること（パスワードなど）、本人だけが持っているもの（スマホやICカードなど）、本人そのものの特徴（指紋や顔など）です。サービス側は、登録ずみの情報と照らし合わせて一致すれば「本人だ」と判断します。

最近は、このうち2つ以上を組み合わせる 多要素認証 が広がっています。1つだけより破られにくくなるためです。

何ができるの？

「持ち主だけが入れる」状態をつくれます。
ログインを必要とすることで、他人が勝手にあなたのアカウントを使ったり、中の情報をのぞいたりするのを防げます。指紋やワンタイムパスワードを使えば、パスワードを盗まれても入られにくくなります。

ただし、認証はあくまで「入口の確認」です。入ったあとに何をしてよいかは、別の「認可」というしくみが受け持ちます。

🌱 身近なたとえ

会員制ジムの入館で例えると、認証は「受付で会員証を見せて本人か確かめる」ことです。
受付の人は、会員証の顔写真とあなたの顔を見くらべて「たしかに登録した本人だ」と確認してから中へ通します。会員証を持っていない人や、他人の証を使おうとする人は止められます。
ただ、入館できたからといってトレーナー専用ルームまで使えるわけではありません。「どこまで使えるか」は、入館の確認とは別の話です。

✅ まず覚えるポイント

• 認証は、相手が「本人かどうか」を確かめるしくみ
• 確かめる証拠は「知っている・持っている・本人の特徴」の3種類
• 2つ以上を組み合わせるのが多要素認証で、より安全
• 認証は「入口の本人確認」までを担当する
• 入ったあと何をしてよいかは「認可」が別に受け持つ

🧭 よくある勘違い

認証と認可って同じことですよね？

別ものです。認証は「あなたは誰か（本人か）」を確かめること、認可は「あなたは何をしてよいか」を決めることです。
ジムでいえば、受付の本人確認が認証、使える部屋やプランの範囲が認可にあたります。ログインできても、管理者用の画面が見られないのは、認可の範囲がしぼられているからです。

パスワードさえ強くすれば、もう安心？

そうとは限りません。どんなに長いパスワードでも、フィッシングなどで盗まれてしまえば、それ1つで本人になりすまされる場合があります。
だからこそ、スマホへの確認コードや指紋など、別の要素を足す多要素認証が役立ちます。「証拠を複数にする」ことが、なりすまし対策の基本になります。

🧩 関連して覚えると楽な言葉

• 認可: 本人だと分かったあと、何をしてよいかを決めるしくみ
• OAuth: パスワードを渡さず、権限だけを安全に預けるしくみ
• 多要素認証（MFA）: 2つ以上の証拠を組み合わせて本人を確かめる方式
• JWT: 認証ずみであることを安全に持ち運ぶための情報の形式

🏁 ひとことでまとめ

認証は、受付で会員証を見せて本人かを確かめるように、アクセスしてきた相手が登録ずみの本人かを確認するしくみです。
「誰か」を確かめるのが認証、「何をしてよいか」を決めるのが認可——この2つを分けて覚えると、つまずきにくくなります。