ITパスポート 令和6年度 問89：securityに関する問題

答えは c です。「数字だけの暗証番号のことをPINという」が正しい説明です。

PIN（ピン）は、スマホのロック解除などで使う数字の暗証番号のこと。銀行のキャッシュカードの4桁の番号もPINの仲間です。

👉 覚え方：「PIN＝数字の暗証番号（ピンと入れる番号）」。

ほかの選択肢はすべて言葉の取り違えです。a 1回のログインで色々使える＝シングルサインオン（チャレンジレスポンスではない）／b 指紋や声紋で本人確認＝生体認証（シングルサインオンではない）／d 覚えた“位置”で入力する方式＝マトリクス認証（多要素認証ではない）。名前のすり替えに注意。

なぜこれが正解か

正解は c。PIN（Personal Identification Number）は、本人確認に用いる数字列から成る暗証番号。スマートフォンのロック解除やICカードの認証などで使われる記述として正しい。

各選択肢の解説

• a 1回の認証で複数サーバ等へログイン＝シングルサインオン（SSO）の説明。チャレンジレスポンス認証ではない（チャレンジレスポンスは乱数を使い、パスワードを直接送らずに認証する方式）。
• b 指紋・声紋など身体的特徴で本人認証＝生体認証（バイオメトリクス認証）。シングルサインオンではない。
• d 覚えた位置に並ぶ数字・文字を入力＝マトリクス認証の説明。多要素認証ではない。

覚え方・ひっかけ注意

この問題は「説明文は正しいが用語名がすり替えられている」典型。説明と用語の対応を一つずつ照合する。a＝SSO、b＝生体認証、d＝マトリクス認証、と正しい用語に置き換えて誤りを見抜く。

理論的背景

PIN（Personal Identification Number）は数字列で構成される個人識別番号であり、認証の3要素のうち「知識認証（Something you know）」に分類される。銀行のキャッシュカードPIN・スマートフォンの画面ロック・SIMカードのPINコードが代表例。PINは通常4〜8桁の数字で構成され、英数字・記号を含むパスワードより文字種が制限される分、試行回数制限（ロックアウト）と組み合わせた防御が重要となる。PINが重要な理由：スマートフォンではFIDO2/WebAuthn実装においてPINが「デバイスPIN（CTAP2 PIN）」として生体認証のフォールバック認証として機能し、デバイス紛失時のリモートワイプ起動の認証にも使用される。EMV（Europay・Mastercard・Visa）規格のICカード決済では、カード内蔵チップとPIN検証を組み合わせた「何か持っている（カード）＋知っている（PIN）」の2要素認証として世界標準化されている。

実務での使われ方

PINの実務応用は金融・アクセス制御・IoTデバイス認証にわたる。ATMの国際標準では4桁PINが基本だが、ECB（欧州中央銀行）規制やPSD2（決済サービス指令2）では生体認証との組み合わせでStrong Customer Authentication（SCA）を実装することが義務付けられている。スマートフォンのFIDO2実装では、Windows Hello・Apple Passkeys・Android Passkeysがデバイスの生体認証センサーと連携しながら、生体認証が失敗した場合のフォールバックとしてPINを使用する設計を採用している。エンタープライズ環境ではYubiKey等のFIDO2ハードウェアセキュリティキーにPINを設定することで、フィッシング耐性のある多要素認証（デバイス所持＋PIN知識）を実現する。OTPとの違い：PINは固定値・OTP（One-Time Password）は時刻ベースの動的値という点が認証強度に直接影響する。

試験での位置づけ

利用者認証の各方式（シングルサインオン・バイオメトリクス・PIN・パスワードグリッド）の正確な定義識別はITパスポートのセキュリティ領域の頻出問題。本問は4つの選択肢が4つの異なる認証概念を説明しており、用語の混同を誘発するように設計されている。識別ポイント：a（「1回の認証で複数へのアクセス」→SSO、「チャレンジレスポンス」ではない）、b（「指紋や声紋など身体的特徴」→バイオメトリクス認証、「シングルサインオン」ではない）、c（「数字列の暗証番号」→PIN）、d（「位置情報を覚えてグリッドから入力」→パスワードグリッド認証/クリックベース認証）。基本情報技術者（FE）ではチャレンジレスポンス認証の仕組み（サーバがランダム値を送信→クライアントがPINとハッシュ化して返却→サーバが検証）・PINのブルートフォース対策・デバイス認証との組み合わせまで問われる。

選択肢の発展補足

選択肢aはシングルサインオン（SSO）の説明を「チャレンジレスポンス認証」と誤ってラベリングしており、チャレンジレスポンス認証の実際の意味（サーバがランダムなチャレンジ値を送信し、クライアントが共有秘密とチャレンジを組み合わせてハッシュしたレスポンスを返す認証プロトコル）との混同を誘発している。選択肢bはバイオメトリクス認証（Biometric Authentication）の説明を「シングルサインオン」と誤ってラベリングしており、身体的特徴と認証方式名の対応を逆転させた混同問題。選択肢dのパスワードグリッド認証（またはグラフィックパスワード・位置ベースOTP）はネットバンキングで使われるセキュリティトークン不要の追加認証手法で、画面上のグリッドテーブルの特定位置に並ぶ数字/文字をパスワードとして入力する方式。「多要素認証」ではなく「知識認証の一種（位置情報という知識）」である点が識別のポイント。多要素認証（MFA）は異なる要素（知識＋所持・知識＋生体等）を組み合わせるものであり、単一の知識要素内の複雑化（グリッドパスワード）とは概念が異なる。