--- type: guideline title: 本人確認における脅威と対策 source: デジタル庁 ds_code: ds-511 category: trust-identity updated: 2025-09-30 source_url: https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a06143-ed29-4f1d-9c31-0f06fca67afc/a66fbb9d/20250930_resources_standard_guideline_identityverification_01.zip --- # 本人確認における脅威と対策 ## 身元確認（Identity Proofing）身元確認の目的は、申請者の属性情報を収集することで申請者を一意に識別するとともに、収集した属性情報が真正かつ申請者自身のものであることを本人確認書類により検証することで、申請者が実在かつ生存する人物であることを確認することである。本節では、身元確認において想定される脅威、実施すべきプロセスと手法例を解説し、身元確認における保証レベルと対策基準を定義する。 ### 身元確認における脅威と対策身元確認においては、以下に示すような脅威が想定される。これらの脅威を検知又は防止するため、「対策プロセス」に記載した各プロセスを経て身元確認を実施することが必要である。

表３‑1　身元確認における主な脅威と対策プロセス
No.	主な脅威	脅威の概要	対策プロセス
1	重複登録	申請情報の不足や誤り等によって、同一の申請者による重複申請を検知できずに受け付けてしまう。	属性情報の収集
2	別人との誤紐づけ	申請情報の不足や誤り等によって、申請者と別の人物とを区別できなくなり、誤った人物の情報と紐づけてしまう。	属性情報の収集
3	本人確認書類の偽造・改ざん	偽造又は改ざんされた本人確認書類によって、実在する別の人物や架空の人物になりすまされる。	本人確認書類の検証
4	本人確認書類の複製	電子的又は物理的に複製された本人確認書類によって、実在する別の人物になりすまされる。	本人確認書類の検証
5	本人確認書類の盗用	盗まれた本人確認書類によって、実在する別の人物になりすまされる。	申請者の検証
6	本人確認書類の貸し借り	貸し借りされた本人確認書類によって、実在する別の人物になりすまされる。	申請者の検証

### 身元確認のプロセス身元確認は、「属性情報の収集」、「本人確認書類の検証」及び「申請者の検証」の3つのプロセスによって実施する。また、身元確認の完了後には、利用者の属性情報や認証器等の認証関連情報を登録する「登録」プロセスを行う。関連するプロセスの全体像を以下に示す。

![](../assets/ds-511-ch01-image6.png)

図３‑1　身元確認プロセスの全体像

表３‑2　身元確認プロセス及び登録プロセスの概要
No.	プロセス		概要
1	身元確認	属性情報の収集	氏名、生年月日、住所等の属性情報を申請者から収集し、対象となる母集団の中で申請者を一意に識別する。これにより、重複登録や別人との誤紐づけを検知・防止可能とする。
2		本人確認書類の検証	申請者から提示された本人確認書類の真正性を物理的又は電子的に検証する。これにより、本人確認書類の偽造・改ざん・複製等によって実在する別の人物や架空の人物になりすまそうとする攻撃を検知する。
3		申請者の検証	本人確認書類が備える顔写真や暗証番号等を用いて、提出された本人確認書類が確かに申請者自身のものであることを検証する。これにより、本人確認書類が盗難や貸し借りされたものでないことを検証する。
4	登録		身元確認の結果を基に、利用者の属性情報や当人認証の際に利用する認証器等の認証関連情報を登録する。

### 身元確認の手法身元確認の各プロセスにおける主な手法を示す。なお、ここで示す手法は主な例であり、他の手法の採用を妨げるものではない。 #### 属性情報の収集手法このプロセスでは、申請者の氏名等の属性情報を収集することで、対象となる母集団の中で申請者を一意に識別する。収集対象とする属性情報は、氏名、生年月日、住所、個人識別符号（対象手続で利用可能である場合）等が一般的であるが、対象手続の業務特性等により異なる。属性情報を正確に収集できないと、申請者を一意に識別できず重複登録や別人との誤紐づけの原因となる。そのため、誤記や表記揺れのほか、改姓や改名、住所変更、通称、外国語の表記法、文字コード、異体字や外字の取扱いなど、一意な識別を妨げる様々な要素を考慮しなければならない。属性情報の収集における主な手法は以下のとおりである。 ##### 電子的な読取り本人確認書類に搭載されたICチップ等から、属性情報を電子データとして読み取る手法。手書き・手入力に伴う誤記や表記揺れ等を防ぎ、属性情報を正確に収集できるが、取り扱うシステムにおける文字コードや異体字・外字の整合等についての留意が必要となる。後述する本人確認書類の検証手法において「デジタル署名の検証」を行うことが前提となる。 ##### 物理的な読取り OCR（Optical Character Recognition：光学式文字認識）装置等を用いて、本人確認書類から属性情報を光学的に読み取る手法。手書きや手入力に起因する誤記等のリスク低減が期待できるが、読み取り精度を考慮した確認作業が必要となる。 ##### 申請者自身による記入・入力申請様式や申請フォームを用意し、申請者自身による記入・入力を求める手法。誤記や表記揺れなどのリスクが存在する。また、紙への記入を求める方式については、申請を受け付けた側でのデータ入力時の入力ミスや読み間違いのリスクについても考慮が必要となる。 ##### IDプロバイダからの情報取得 IDプロバイダに身元確認を依拠する連携モデルの場合、IDプロバイダが実施した身元確認の結果を取り寄せることで、対象手続側で必要とする申請者の属性情報を取得する手法。この場合、後述する「本人確認書類の検証」や「申請者の検証」はIDプロバイダによって実施済みのものとして扱うことができる。ここで取得した属性情報の正確性や保証レベルは、IDプロバイダが実施した身元確認の手法（身元確認の具体的手法、提示された本人確認書類の種類等）に依存する点や、IDプロバイダが身元確認を実施した時点から属性情報が変更されている可能性がある点に留意すること。正確性や保証レベルが対象手続において受け入れ可能なものであるかについては、IDプロバイダとの「信頼関係の確立」プロセスにおいてあらかじめ確認・合意することが必要である。詳細については「[３.３](#フェデレーションfederation)　[フェデレーション（Federation）](#フェデレーションfederation)」を参照すること。

参考：属性情報の収集手法の具体例

参考情報として、対面及び非対面における各手法の具体例を以下に示す。

手法例	対面での具体例	非対面での具体例
a) 電子的な読取り	スマートフォン又はICカードリーダーを用いて、マイナンバーカードのICチップから基本4情報を読み取る。	（対面と同じ）
b) 物理的な読取り	OCR装置を用いて、本人確認書類の記載情報を光学的に読み取る。	OCR機能付きのスマートフォンアプリを用いて、本人確認書類の記載情報を光学的に読み取る。
c) 申請者自身による記入・入力	紙の申請書を用意し、申請者自身による記入を求める。	申請サイトのWebフォームに申請者自身による入力を求める。
d) IDプロバイダからの情報取得	（対面での実施は想定されない）	IDプロバイダと連携し、必要な属性情報をIDプロバイダから取得する。

#### 本人確認書類の検証手法このプロセスでは、身元確認におけるなりすまし等の不正を防ぐため、申請者から提示された本人確認書類に対して、それが偽造・改ざんされたものでないことを検証する手法。主な手法は以下のとおりである。手法により利用可能な本人確認書類と検証強度が異なるため、対象手続の利用者特性、取り扱う本人確認書類、想定されるリスク等を踏まえながら、採用する手法を検討する必要がある。 ##### デジタル署名の検証本人確認書類に格納された電子データに発行元のデジタル署名が付与されている場合において、デジタル署名を検証することで、データの発行元と、データが発行後に改ざんされていないことを検証する手法。デジタル署名のもつ暗号学的な性質に基づき、厳密な検証が可能である。 ##### 信頼できる情報源への照会信頼できる情報源（本人確認書類の発行元など、本人確認書類の記載情報を正確に保持している、権威ある組織やシステム）に対して、一意な参照番号やQRコード等を用いて情報を照会することで、本人確認書類に記載された内容の真正性を確認する手法。発行元等の情報を直接取得できるため厳密な検証が可能であるが、参照に用いる参照番号やQRコード等の真正性については別の手法で検証する必要がある。 ##### 対面での物理的検査対面において、本人確認書類を物理的（視覚的・触覚的）に検査することで、偽造・改ざんがされていないことを検証する手法。検証の強度は、検査を行う環境（照明の明るさ等）、検査に利用できる道具、本人確認書類が備える偽造対策技術（ホログラムやパールインキ等の印刷技術）、検査担当者の経験・技能、訓練やマニュアルの有無など、様々な要因によって左右される。 ##### 非対面での物理的検査カメラによる画像・動画の撮影、複合機等による複写・スキャン等によって、本人確認書類を非対面で検証する手法。手法により強度の差はあるが、この手法においては精巧な偽造・改ざんの検知は難しく、対面の場合と比べて検証の強度は低くなる。

参考：本人確認書類の検証手法の具体例

参考情報として、対面及び非対面における各手法の具体例を以下に示す。

手法例	対面での具体例	非対面での具体例
a) デジタル署名の検証	マイナンバーカードのICチップから読み取った電子データに付与されているデジタル署名を検証し、電子データの偽造や改ざんが行われていないことを確認する。	（対面と同じ）
b) 信頼できる情報源への照会	本人確認書類のQRコードを読み取るなどして発行元のサイトにアクセスし、表示された情報と本人確認書類の記載内容が一致していることを確認する。	本人確認書類を撮影した画像や複写物の提出を求め、そこに記載されたQRコードを読み取るなどして発行元のサイトにアクセスし、表示された情報と本人確認書類の記載内容が一致していることを確認する。
c) 対面での物理的検査	本人確認書類を担当者が視覚的・触覚的に検査することで、偽造や改ざんが行われていないことを確認する。	―
c) 対面での物理的検査	本人限定受取郵便（特定事項伝達型）など、対面で本人確認書類の確認を行う郵送サービスを利用する。	―
d) 非対面での物理的検査	―	本人確認書類を撮影した画像や複写物の提出を求め、それを担当者が視覚的に確認することで、偽造や改ざんが行われていないことを確認する。

#### 申請者の検証手法「本人確認書類の検証」によって本人確認書類が真正かつ有効であることを確認できた場合でも、窃盗や貸し借りによって正規の本人確認書類が悪用されている可能性がある。そのため、このプロセスで本人確認書類が確かに申請者自身のものであることを検証する。主な手法は以下のとおりである。手法によって利用可能な本人確認書類と検証強度が異なるため、対象手続の利用者特性、取り扱う本人確認書類、想定されるリスク等を踏まえながら、採用する手法を検討する必要がある。 ##### 対面での容貌確認対面において、本人確認書類に含まれる顔写真と申請者の容貌とを見比べ、本人確認書類が確かに申請者自身のものであることを検証する手法。この検証の強度は、検証を行う環境（照明の明るさ等）、検証時の条件（帽子やマスク等の着脱等）、本人確認書類の顔写真の品質や媒体（印刷されたものか、ICチップに格納された電子データか）、検証を担当する者の経験・技能、マニュアルや訓練の有無など、様々な要因によって左右される。 ##### 非対面での容貌確認オンラインでの手続において、カメラで撮影された映像・画像等を観察することで、本人確認書類に含まれる顔写真と申請者の容貌とを見比べ、本人確認書類が確かに申請者自身のものであることを検証する手法。この検証の強度は、カメラでの撮影を行う環境（照明の明るさ等）、カメラの解像度、本人確認書類の顔写真の精度、検査を担当する者の経験・技能、マニュアルや訓練の有無など、様々な要因によって左右される。顔照合技術等を用いて検査担当者を介さずに行う場合は、当該技術の精度によっても左右される。また、カメラに対して偽の映像・画像を提示する攻撃（プレゼンテーション攻撃）や、カメラで撮影されたデータを偽の映像・画像に差し替える攻撃（インジェクション攻撃）など、この手法における特有の攻撃への対策も必要となる。 ##### 暗証番号等による検証 ICチップを備える本人確認書類やスマートフォンに搭載された本人確認書類等において、それらが備える暗証番号や生体情報による認証機能を利用することで、本人確認書類が確かに申請者自身のものであることを検証する手法。この検証の強度は、認証に用いる要素、認証機能の精度や仕様（暗証番号の桁数、生体認証の本人拒否率や他人受入率等）等に左右されるが、検証の環境や担当者の技能等に左右されにくく、一定の強度が期待できる。ただし、暗証番号を用いる場合、本人確認書類とともに暗証番号が攻撃者に共有され得るため、例えば本人確認書類の貸し借り等は検知できない。 ##### 住所への到達確認による検証本人確認書類に記載された住所等の連絡先に対して「確認コード（6桁の番号等）」等を送付するなどして到達確認を行うことで、申請者と本人確認書類との紐づきを検証する手法。顔写真を含まない本人確認書類にも適用できる特徴がある。この検証の強度は、検証の環境や担当者の技能等に左右されにくく、対面・オンラインのいずれにおいても一定の強度が期待できる。ただし、送達中の確認コードが攻撃者に不正取得されるリスクが存在する点などへの留意が必要である。また、送付した確認コード等が攻撃者に共有され得るため、例えば本人確認書類の貸し借り等は検知できない。

参考：申請者の検証手法の具体例

参考情報として、対面及び非対面における各手法の具体例を以下に示す。

手法例	対面での具体例	非対面での具体例
a) 対面での容貌確認	窓口等において、申請者の容貌と本人確認書類の顔写真とを見比べ、同一の人物であることを確認する。	―
a) 対面での容貌確認	本人限定受取郵便（特定事項伝達型）など、対面での容貌確認を行う郵送サービスを利用する。	―
b) 非対面での容貌確認	―	申請者の容貌と本人確認書類をスマートフォンで撮影することを求め、提出された映像・画像を見比べることで、同一の人物であることを確認する。
c) 暗証番号等による検証	マイナンバーカードをスマートフォンやICカードリーダーで読み込む際の暗証番号による認証成功をもって、当該マイナンバーカードが申請者自身のものであることを確認する。	（対面と同じ）
d) 住所への到達確認による検証	提出された住民票の写しに記載された住所に6桁の確認コードを郵送し、Webサイト上でコードが入力されたことを確認することで、提出された住民票の写しが申請者自身のものであることを確認する。	（対面と同じ）

### 身元確認保証レベルと対策基準 #### 身元確認保証レベルの位置づけ身元確認の保証レベルは、[表３‑3](#_Ref184908871)に示す3段階で定義する。なお、対象手続におけるリスクの影響度の判断基準については本ガイドラインの「４　本人確認手法の検討方法」を参照すること。

表３‑3　身元確認保証レベルの位置づけ
身元確認保証レベル	保証レベルの位置づけ
レベル3	身元確認に関するリスクの影響度が「高位」となる対象手続が該当する保証レベル。「デジタル署名の検証」によって本人確認書類の検証を行うことを必須とし、本人確認書類の偽造・改ざん及び複製の脅威に対して厳格な耐性を確保する。
レベル2	身元確認に関するリスクの影響度が「中位」となる対象手続が該当する保証レベル。本人確認書類の検証は、レベル3の手法に加えて「信頼できる情報源への照会」又は「対面での物理的検査」を行うことを許容し、本人確認書類の偽造・改ざんの脅威に対して標準的な耐性を確保する。
レベル1	身元確認に関するリスクの影響度が「低位」となる対象手続が該当する保証レベル。本人確認書類の検証は、レベル2の手法に加えて「非対面での物理的検査」を行うことを許容し、本人確認書類の偽造・改ざんの脅威に対して簡易的な耐性を確保する。

#### 身元確認保証レベルの対策基準身元確認における各保証レベルの対策基準は下表のとおりとする。

表３‑4　身元確認保証レベルの対策基準
身元確認保証レベル	対策基準
レベル3	属性情報の収集手法は、以下のいずれかとすること。電子的な読取り IDプロバイダからの情報取得
	本人確認書類の検証手法は、電子的な複製が困難な本人確認書類を用いた「デジタル署名の検証」とすること。
	申請者の検証手法は、以下のいずれかとすること。対面での容貌確認（※1）非対面での容貌確認（※1）（※2）暗証番号等による検証（※3）
レベル2	属性情報の収集手法は任意とする。
	本人確認書類の検証手法は、以下のいずれかとすること。デジタル署名の検証信頼できる情報源への照会対面での物理的検査
	申請者の検証手法は、以下のいずれかとすること。対面での容貌確認非対面での容貌確認（※2）暗証番号等による検証（※3）
レベル1	属性情報の収集手法は任意とする。
	本人確認書類の検証手法は、以下のいずれかとすること。デジタル署名の検証信頼できる情報源への照会対面での物理的検査非対面での物理的検査
	申請者の検証手法は、以下のいずれかとすること。対面での容貌確認非対面での容貌確認（※2）暗証番号等による検証（※3）住所への到達確認による検証（※3）

※1：身元確認保証レベル3の容貌確認では、顔写真が偽造・改ざんされていないことを「デジタル署名の検証」によって検証する必要があることに留意すること。また、厳格な対面での容貌確認については実施担当者に技能が要求されるため、適切にトレーニング等を実施すること。詳細は「３．1 身元確認（Identity Proofing） 5) 身元確認に関する個別検討事項　エ身元確認の実施担当者に対する訓練等」を参照のこと。 ※2:　非対面での容貌確認では、カメラに対して偽の映像・画像を提示する攻撃（プレゼンテーション攻撃）や、カメラで撮影されたデータを偽の映像・画像に差し替える攻撃（インジェクション攻撃）などへの対策が必要となる。攻撃技術の動向を把握した上で、必要な対策を実施し、適時見直しを実施すること。詳細は「３．1 身元確認（Identity Proofing） 5) 身元確認に関する個別検討事項　オカメラに対する攻撃への対策」を参照のこと。 ※3：これらの手法は本人確認書類の貸し借りを検知できない手法であることに留意すること。なお、対策基準はあくまで基準である。同等の脅威耐性を確保できる場合は他の手法等により代替してもよい。 ### 身元確認に関する個別検討事項以下の事項については、保証レベルや対策基準によらず、対象手続の特性等を踏まえて個別の検討を行うものとする。 #### 身元確認において収集する属性情報身元確認において申請者からどのような属性情報を収集する必要があるかについては、対象手続の事業目的、対象とする利用者層、マイナンバーの利用可否などによって異なる。プライバシーの観点からは、収集する情報は必要最小限の範囲とする必要もある。これらの点を考慮しつつ、対象手続の身元確認において申請者から収集すべき属性情報を検討すること。 #### 身元確認で利用可能とする本人確認書類対象手続においてどのような本人確認書類を利用可能とすべきかについては、対象手続の目的、根拠法、利用者層、身元確認保証レベル、採用する身元確認手法など、様々な条件や制約を考慮して決定する必要がある。したがって、利用可能とする本人確認書類の種類や条件、複数の本人確認書類の組み合わせの可否等については、対象手続において個別に検討すること。検討の参考として、採用する身元確認手法に基づく本人確認書類の条件の考え方を以下に示す。

表３‑5　利用可能とする本人確認書類の考え方
身元確認手法	利用可能とする本人確認書類の条件
共通	公的機関等の信頼できる機関によって、適切な身元確認を経た上で、適切なプロセスによって発行された本人確認書類であること。不正の発覚時等に発行元への照会が可能であること。
デジタル署名の検証	発行元によるデジタル署名が付与されており、発行元の検証及び真正性の検証が可能であること。電子データの不正な取り出しや複製が困難な仕組み（耐タンパ性を有するICチップや、それに類する技術的対策等）を備えていること。
物理的検査	本人確認書類の偽造や改ざんを防止するための技術（ホログラム、パールインキ、顔写真のシェーディング等）が備えられていること。
容貌確認	適切な品質の顔写真が印刷されていること。適切な品質の顔写真を電子データに含むこと。
暗証番号等による検証	暗証番号等による認証機能を備えること。
住所への到達確認による検証	確認コード等の送付先として利用できる住所等の情報を含むこと。

#### 本人確認書類の貸し借りへの対策申請者の検証手法のなかには、「本人確認書類の貸し借り」への耐性を備えない手法もある。対象手続において本人確認書類の貸し借りが行われた場合のリスクを評価し、これを受容できない場合は貸し借りへの耐性を有する手法の採用を検討すること。 #### 身元確認の実施担当者に対する訓練等身元確認手法のなかには、実施手順や実施する担当者の技能等によって検証強度が大きく左右されるものがある。そのような手法を採用する場合は、適切な検証を実施するためのマニュアル等を整備し、身元確認の実施担当者に対して適切な教育や訓練を行うこと。実施担当者に対する訓練を必要とする手法例： - 本人確認書類の検証手法の「対面での物理的検査」 - 本人確認書類の検証手法の「非対面での物理的検査」 - 申請者の検証手法の「対面での容貌確認」 - 申請者の検証手法の「非対面での容貌確認」 #### カメラに対する攻撃への対策非対面の身元確認においてカメラの映像・画像を用いる場合、カメラに偽の映像・画像を流し込む、通信途中にデータを差し替える、AI技術等を用いて映像をリアルタイムに加工するなど、この手法に対する特有の攻撃（プレゼンテーション攻撃、ビデオインジェクション攻撃）が想定される。有効な対策は採用しようとする手法や端末環境によって異なるため、必要な対策を個別に検討し講じること。対策の例： - 攻撃を検知するための技術（高度なライブネスチェック等）の採用 - 攻撃が技術的に困難な仕組みを備える端末やOSの指定 - 専用端末が備えられたブースなど、第三者による攻撃が困難な環境での身元確認の実施 #### 「基本的な考え方」に基づく考慮事項「[１.５](#基本的な考え方)　[基本的な考え方](#基本的な考え方)」に基づき、以下の点を考慮すること。 ##### 事業目的の遂行、公平性への影響身元確認に利用できる本人確認書類が限られることによって、事業目的の遂行や公平性への影響が生じないか留意すること。例えば、本人確認書類に対して「デジタル署名の検証」を必須とする場合、デジタル署名に対応した本人確認書類を有していない利用者の存在を考慮した対応の要否を検討すべきである。 ##### プライバシーに関する考慮事項身元確認では個人情報を収集するため、収集した情報の取扱いに係るプライバシー面のリスクを識別・評価し、必要な対策を検討すること。例えば、収集した情報の不適切な利用、名寄せ、第三者への提供、改ざん、漏えいなどのリスクが想定される。対策の例としては、収集する情報の最小化（Data Minimization)、必要のなくなったデータの破棄、目的外利用が行われないための適切な管理や教育などが考えられる。 ##### セキュリティに関する考慮事項それぞれの手法による検証の強度は、運用方法によっても大きく左右されることに留意すること。特に、担当者が目視で行う「物理的検査」や「容貌確認」といった手法では、検証の環境、本人確認書類の種別、機材の有無、検証に費やせる時間、マニュアルや訓練の有無など、様々な要因によって検証の強度が変わる。これらの手法を採用する場合には、これらの要素について具体的な運用設計を行うこと。 ## 当人認証（Authentication）当人認証の目的は、対象手続を利用しようとする申請者が、あらかじめ登録されている者と同一の人物であること（当人性）を確認することである。本節では、当人認証において想定される脅威、プロセス、手法例等を解説し、当人認証における保証レベルと対策基準を定義する。 ### 当人認証における脅威と対策当人認証における主な脅威と対策を以下に示す。 | No. | 主な脅威 | 脅威の概要 | 対策例 | |----|----|----|----| | 1 | オンライン上でのパスワードの推測 | 総当たりやパスワードリスト等により繰り返しログインを試行することで、なりすましを行う。 | パスワードの複雑性の確保、一定時間当たりの認証回数の制限、多要素認証の採用 | | 2 | 盗聴・リプレイ攻撃 | 通信を盗聴し、パスワード等を窃取することでなりすましを試みる、同じ内容を再送信することでなりすましを行う。 | 通信の暗号化、チャレンジレスポンス方式の採用、nonceの導入、ワンタイムパスワードの採用 | | 3 | パスワードや認証器の盗用 | 他サービスから漏えいしたパスワード、窃盗したICカード等を用いてなりすましを行う。 | 多要素認証の採用 | | 4 | フィッシング攻撃 | 利用者を偽のサイトに誘導し、入力されたパスワード等を攻撃者が窃取したり、正規のサイトにリアルタイムに中継したりすることで、なりすましを行う。 | フィッシング耐性を有する認証技術の採用 | | 5 | 暗号鍵の不正な取り出し・複製 | 秘密鍵が格納されたデバイスに対し、物理的な解析やサイドチャネル攻撃等を行うことにより、秘密鍵を不正に取り出そうとする。 | 耐タンパ性を有するハードウェアの利用等 | 表３‑6　当人認証における主な脅威と対策例 ### 当人認証のプロセス当人認証は、認証器のライフサイクルに沿って、「認証器の登録」、「当人認証の実施」、「盗難・紛失等への対応」及び「アカウントの回復」のプロセスを考慮する必要がある。以下に関連するプロセスの全体像を示す。

![](../assets/ds-511-ch01-image7.png)

図３‑2　当人認証プロセスの全体像

| No. | プロセス | 概要 | |----|----|----| | 1 | 認証器の登録 | アカウント登録時等の身元確認プロセスにおいて認証器を登録するなどして、当人認証に用いる認証器を利用者と紐づけて登録する。 | | 2 | 当人認証の実施 | 手続やサービスを利用しようとする申請者が、あらかじめ登録されている利用者と同一の人物であることを、認証器によって確認する。 | | 3 | 認証器の盗難・紛失時の対応 | 利用者から認証器の盗難や紛失の報告を受けた際に、認証器の無効化やアカウントの停止等の対応を行う。 | | 4 | アカウントの回復 | 認証器の盗難・紛失、故障による交換、パスワードの忘失などによって利用者がアカウントにログインできなくなった状態を回復する。 | 表３‑7　当人認証に関連するプロセスの概要 ### 当人認証の手法当人認証は、一般に「認証の3要素」と呼ばれる「知識情報」、「所持情報」及び「生体情報」のうち１つ以上を用いて行われる。1つの要素を用いるものを「単要素認証」、複数の要素を組み合わせて用いるものを「多要素認証」という。代表的な当人認証の手法例を以下に示す。

表３‑8　代表的な当人認証手法の例
No.	区分	手法例の分類	具体例
1	単要素認証	パスワード認証	―
2		ワンタイムパスワード認証	SMSや電子メールアドレスへの認証コード送信
3		公開鍵認証（単要素のもの）	ICカード USBセキュリティキー
4	多要素認証	パスワード認証＋ワンタイムパスワード認証	スマートフォン用のワンタイムパスワード生成アプリ
6	多要素認証	公開鍵認証（多要素のもの）	暗証番号付きICカード生体認証付きUSBセキュリティキーパスキー¹

FIDO AllianceとW3C（World Wide Web Consortium）がパスワードに代わる認証技術として共同で技術仕様を策定した公開鍵認証技術の一種。↩︎

#### パスワード認証あらかじめ登録した文字列によって利用者を認証する方式。オンラインサービスにおいて最も普及している当人認証手法の１つである。利用者側が複数のサービスで同じパスワードを使い回すことが少なくなく、他のサービスから漏えいしたパスワードによって不正アクセスを受けるリスクがある。また、利用者を偽のサイトに誘導してパスワードを窃取するフィッシング攻撃に対して脆弱である。こうしたリスクは利用者の行動や判断にも依存するため、サービス提供側での根本的な対策が難しい。 #### ワンタイムパスワード認証一回限りのパスワードを生成して認証する方式。パスワードの生成や伝達方法によって様々な種類があり、スマートフォン用のTOTP（Time-based One-Time Password）アプリでワンタイムパスワードを生成する方式や、サーバ側で生成したワンタイムパスワードを電子メールやSMS等によって送信する方式などが代表的である。ワンタイムパスワードは「二段階認証」と呼ばれる方式でパスワードとともに用いられることがあるが、リアルタイム中継型のフィッシング攻撃への耐性を有さないことに留意が必要である。 SMS等を用いてワンタイムパスワードを送信する方式は、SIMスワッピング攻撃により利用者が携帯電話番号を不正に奪取されるリスク、第三者によってSMS等の認証代行が行われるリスク、携帯電話番号の再割り当てが行われることで別人に届いてしまうリスク等がある。採用に当たってはこれらのリスクを受容できるか個別のリスク評価が必要である。電子メールアドレスに対してワンタイムパスワードを送信する方式は、電子メールへのアクセスがパスワードに依存している場合が多く、パスワードと同時に侵害される可能性があることや、メールの送信経路中で傍受されるリスクがある。採用に当たってはこれらのリスクを受容できるか個別のリスク評価が必要である。 #### 公開鍵認証 ICカード、スマートフォン、USBセキュリティキー等のデバイスに秘密鍵を格納し、公開鍵暗号に基づく認証を行う方式。通常、秘密鍵はデバイスの外部に取り出すことはできない仕組みとなっているが、複数のデバイス間で秘密鍵を同期できる技術も存在する。 ##### 単要素の認証器公開鍵認証のうち、暗証番号や生体情報を必要とせずに利用できる認証器を用いる場合、「所持情報」を用いる単要素認証となる。 ##### 多要素の認証器公開鍵認証のうち、暗証番号や生体情報によるアクティベーション機能を有する認証器を用いる場合、多要素認証となる。 ### 当人認証保証レベルと対策基準 #### 当人認証保証レベルの位置づけ当人認証の保証レベルは、以下の3段階で定義する。なお、対象手続におけるリスクの影響度の判断基準については本ガイドラインの4章を参照すること。

表３‑9　当人認証保証レベルの位置づけ
当人認証保証レベル	保証レベルの位置づけ
レベル3	当人認証に関するリスクの影響度が「高位」となる対象手続が該当する保証レベル。多要素認証を必須とし、さらにフィッシング耐性をもつ認証手法を全ての利用者が利用することを必須とすることで、厳格な耐性を確保する。
レベル2	当人認証に関するリスクの影響度が「中位」となる対象手続が該当する保証レベル。多要素認証を必須とし、さらにフィッシング耐性をもつ認証手法を希望する利用者が選択的に利用できるようにすることで、標準的な耐性を確保する。
レベル1	当人認証に関するリスクの影響度が「低位」となる対象手続が該当する保証レベル。単要素認証により、簡易的な耐性を確保する。

#### 当人認証保証レベルの対策基準当人認証における各保証レベルの対策基準は下表のとおりとする。

表３‑10　当人認証保証レベルの対策基準
当人認証保証レベル	対策基準
レベル3	多要素認証であること。うち一要素は「公開鍵認証」であること。
レベル3	以下の全ての脅威耐性を備えること。フィッシング攻撃への耐性（全ての利用者）レベル2で求められる脅威耐性
レベル2	多要素認証であること。
レベル2	以下の全ての脅威耐性を備えること。フィッシング攻撃への耐性（希望する利用者（※））暗号鍵の不正な取り出し・複製への耐性（公開鍵認証を用いる場合）レベル1で求められる脅威への耐性
レベル1	単要素認証又は多要素認証であること。
レベル1	以下の全ての脅威耐性を備えること。オンライン上でのパスワードの推測への耐性盗聴・リプレイ攻撃への耐性

- 希望する利用者が、フィッシング耐性をもつ認証手法を選択的に利用できることを指す。なお、対策基準はあくまで基準であり、同等の脅威耐性を確保できる場合は他の手法等により代替してもよい。 ### 当人認証に関する個別検討事項以下の事項については、保証レベルや対策基準によらず、対象手続の特性等を踏まえて個別の検討を行うものとする。 #### 認証器の登録方法認証器を利用者と紐づけて登録するための登録方法を定めること。身元確認プロセスの一環として登録することが一般的であるが、アカウント回復のための追加の認証器の登録、認証器の盗難・紛失や故障による交換時の再登録についても考慮が必要である。 #### 認証器の盗難・紛失時の対応認証器の盗難や紛失を想定した対応をあらかじめ定めること。具体的には、利用者からの報告に応じて当該認証器の登録を解除する、アカウントを一時停止するなどの対応が考えられる。なお、利用者からの報告を受け付ける際には、第三者のなりすましによる攻撃を想定し、当該利用者に対する本人確認を行う必要がある。後述する「アカウントの回復」とあわせて、報告者に対する本人確認手法を検討すること。 #### アカウントの回復利用者がパスワードを忘れた場合や認証器を紛失した場合に備え、アカウントの回復手段を検討すること。代表的な手段としては以下のような手法例が考えられる。なお、アカウント回復手段を攻撃の起点とされることを防ぐため、アカウント回復の手段は、採用している当人認証手法と同等以上の強度の手法を選択すること。

表３‑11　代表的なアカウント回復手段例
手法例	概要と留意点
身元確認の再実施	初回登録時と同様の身元確認を再度実施する方式。身元確認を再実施する負担が生じるが、アカウント回復に起因する脆弱性を生みにくい。
予備の認証器の登録	認証器の紛失等に備え、複数の認証器をあらかじめ登録しておく方式。利用者が複数の認証器を利用できることが前提となる。
リカバリーコードの事前発行	アカウントの登録時にリカバリー専用のコードを発行しておき、アカウント回復が必要となった際にリカバリーコードの入力を求める方式。リカバリーコードは登録時に一度だけ発行されるため、攻撃者が能動的に不正入手できる機会が少ないが、利用者はリカバリーコードを適切に保管する必要がある。
リカバリーコードの必要時発行	利用者の求めに応じて、利用者の連絡先（住所、電子メール、携帯電話番号等）に対してリカバリーコードを送信し、入力を求める方式。利用者はリカバリーコードを保管する必要がないが、攻撃者が連絡先を乗っ取り、リカバリーコードを不正に発行・窃取する攻撃への考慮が必要である。

#### 利用者の死亡時の対応対象手続の特性、根拠法、想定されるリスク等に基づき、利用者が死亡した場合のアカウントの取扱いについて必要な対応を定めること。 #### 「基本的な考え方」に基づく考慮事項 ##### 事業目的の遂行や公平性への考慮事項採用する当人認証手法によって、事業目的の遂行や公平性への影響が生じないか留意すること。例えば、スマートフォンの所有を前提とする手法を採用する場合、スマートフォンを有していない利用者の存在を考慮した対応の要否を検討すべきである。 ##### プライバシーに関する考慮事項なりすまし等によって不正アクセスを受けた際にアクセス可能となる情報の範囲等を踏まえ、利用者に生じるプライバシー面のリスクを考慮して当人認証手法を検討すること。さらに、認証器に含まれる情報によって利用者の意図しない名寄せが行われるリスクなど、当人認証手法によって引き起こされるリスクについても考慮すること。 ## フェデレーション（Federation）フェデレーションでは、対象手続における身元確認や当人認証を、信頼できる他者に依拠して実現する。このとき、依拠元となる対象手続を「依拠当事者」、依拠先を「IDプロバイダ」といい、連携のためにIDプロバイダから発行される情報を「アサーション」という。概念図を以下に示す。

![](../assets/ds-511-ch01-image8.png)

図３‑3　フェデレーションの概念図

### フェデレーションにおける脅威と対策フェデレーションにおける主な脅威は以下のとおりである。

表３‑12　フェデレーションにおける主な脅威と対策
No.	主な脅威	脅威の概要	対策例
1	保証レベルの齟齬	IDプロバイダが実施する身元確認・当人認証の保証レベルと依拠当事者が必要とする保証レベルに齟齬が生じることで、本来必要とする強度の身元確認・当人認証が行われず、なりすまし等の攻撃を受ける。	IDプロバイダとの信頼関係の確立
2	アサーションに関する攻撃	IDプロバイダから依拠当事者に対して発行されるアサーションを攻撃者に盗聴・窃取されたり、偽造・改ざん・再利用されたりすることで、情報の窃取やなりすまし等の攻撃を受ける。	安全な連携のための設定・登録・鍵管理適切な対策を講じたアサーションによる連携

### フェデレーションのプロセスフェデレーションによる安全な連携を実現するためには、IDプロバイダと依拠当事者間で事前調整により信頼関係を確立した上で、システム面の設定・登録及び鍵管理や、連携されたアサーションの検証等が必要となる。フェデレーションのプロセスの全体像を以下に示す。

![](../assets/ds-511-ch01-image9.png)

図３‑4　フェデレーションのプロセスの全体像

表３‑13　フェデレーションのプロセスの概要
No.	プロセス	概要
1	信頼関係の確立	IDプロバイダと依拠当事者との間で、フェデレーションにおいて連携する属性情報や保証レベル等の条件を事前に調整し、合意・確立する。
2	設定・登録及び鍵管理	IDプロバイダと依拠当事者のシステム間で安全な連携を実施するため、識別子の設定、暗号鍵の登録とその後の鍵管理を行う。
3	アサーションの授受と検証	IDプロバイダと依拠当事者のシステム間でアサーションの授受を行い、アサーションが再利用や偽造・改ざんされたものでないか等の検証を行う。
4	定期的な確認と見直し	「信頼関係の確立」プロセスにおいて合意した事項が確かに実施されていることを定期的に確認する。また、技術や脅威の動向等を踏まえ、必要に応じて合意事項を見直す。

### フェデレーションに関する対策基準フェデレーションの各プロセスにおいて、依拠当事者となる対象手続が満たすべき対策基準を本項に示す。なお、本ガイドラインではフェデレーションに関する保証レベルは定義せず、一律の対策基準を定義する。 #### 信頼関係の確立依拠当事者は、フェデレーションにおいて必要な条件等についてIDプロバイダと調整・合意することで、IDプロバイダとの信頼関係を事前に確立するものとする。このプロセスにおいて最低限合意すべき事項を以下に示す。なお、合意事項は文書化して管理するものとする。

表３‑14　信頼関係の確立において合意すべき事項
No.	大項目	合意すべき事項
1	連携対象とする属性情報	属性情報名、属性情報の概要連携する情報の利用目的、利用範囲（依拠当事者は必要以上の属性を取得しないこと）
2	IDプロバイダが実施する本人確認の保証レベル	IDプロバイダが実施する身元確認の保証レベル及び具体的手法 IDプロバイダが実施する当人認証の保証レベル及び具体的手法
3	依拠当事者が必要とする本人確認の保証レベル	依拠当事者が必要とする身元確認の保証レベル依拠当事者が必要とする当人認証の保証レベル
4	設定・登録・鍵管理等の方法	連携に使用するプロトコル、プロファイル IDプロバイダと依拠当事者との間で安全な連携を確立するために必要となる設定・登録事項（IDプロバイダ及び依拠当事者の識別子、暗号鍵等）暗号鍵の更新期間、更新方法、管理方法、動的な設定や登録を行う場合の技術方式等
5	共有シグナルの活用方針	IDプロバイダと依拠当事者との間でアカウントに関する情報を連携する「共有シグナル」の利用の有無共有シグナルの送信契機とするイベント（アカウントの停止、アカウントの侵害の疑い、アカウントの属性情報の変更等）共有シグナルに含める情報
6	その他	運用面の合意事項（IDプロバイダのSLA、インシデント発生時の連絡経路、対応方針等）

#### 設定・登録及び鍵管理「信頼関係の確立」プロセスにおいて合意した内容に基づき、IDプロバイダとの安全な連携に必要となる各種設定・登録（お互いの識別子の設定、暗号鍵の交換・登録等）を行う。暗号鍵については、定期的な更新などの鍵管理を行う。設定・登録及び鍵管理は手動で行うことを基本として想定するが、必要時に自動的に行うための技術を採用してもよい。 #### アサーションの授受と検証依拠当事者は、IDプロバイダから発行されるアサーションを受け取ることで連携を行う。このアサーションには利用者の個人情報や認証に係る情報が含まれるため、攻撃者によるアサーションの盗聴、窃取、偽造・改ざん、再利用などの脅威を想定し、適切な対策を講じる必要がある。アサーションに関して最低限満たすべき対策基準は以下のとおりとする。ただし、詳細はIDプロバイダとの連携方式、連携に用いるネットワーク、採用するプロトコルの仕様等によっても異なるため、システムの構築段階において想定される脅威とリスクを分析し、必要な具体的対策を講じること。

表３‑15　アサーションに関する対策基準
No.	分類	対策基準
1	基本事項	フェデレーションによる連携は、IDプロバイダが依拠当事者に対してアサーションを発行することによって行うこと。アサーションに関する攻撃への基本的な耐性を確保するため、フェデレーションのトランザクションは原則として依拠当事者側から開始すること。ただし、連携が閉域網内で行われる場合など第三者による攻撃のリスクが低いとみなせる場合には、IDプロバイダ側からトランザクションを開始する方式としてもよい。
2	アサーションの検証	アサーションに関する攻撃を想定し、IDプロバイダから受け取ったアサーションに対して依拠当事者は以下の検証を行うこと。想定するIDプロバイダから発行されたものであること第三者により偽造・改ざんされたものでないこと自身が要求したリクエストに対して発行されたものであること自身に向けて発行されたものであること再利用されたものでないこと有効期限内であること
3	保証レベル等の情報連携	IDプロバイダ側が複数の認証方式に対応している場合は、必要に応じて、以下の情報をアサーションに含めて依拠当事者へ連携すること。 IDプロバイダ側で実施された身元確認/当人認証の保証レベル連携時にIDプロバイダ側の当人認証に用いられた認証器の種類
4	その他の脅威への対策	IDプロバイダとの連携方式、連携に用いるネットワーク、採用するプロトコルの仕様等に応じて、対象手続において想定される脅威とリスクを分析し、必要な対策を講じること。

#### 定期的な確認と見直し依拠当事者は、「信頼関係の確立」プロセスにおいて合意した事項がIDプロバイダにおいて確かに実施されていることを、想定される脅威に応じて定期的に確認すること。また、技術や脅威の動向等を踏まえ、必要に応じて合意事項を見直すこと。