１　主要な当人認証手法の解説

１.１　フィッシング耐性を有する当人認証手法

1)　実物のマイナンバーカード（利用者証明用電子証明書）

ア　手法の概要

マイナンバーカードの「利用者証明用電子証明書」は、Webサイト等へのログイン時において、公開鍵認証による当人認証を行うことができる機能です。実装において適切なフィッシング対策を講じることで[^23]、当人認証保証レベル3の当人認証を実現できます[^24]。

イ　脅威耐性と留意事項

a)　オンライン上でのパスワードの推測
  • 暗証番号による当人認証はローカルで処理されるため、オンライン上での推測攻撃を受けません。
b)　盗聴・リプレイ攻撃
  • 通信の暗号化やチャレンジレスポンス等による対策が可能です。
c)　パスワードや認証器の盗用

  • 多要素認証であるため、単一の認証要素を盗まれた場合にも耐性を有します。

  • マイナンバーカードと暗証番号が同時に盗まれた場合の耐性は有しません。

d)　フィッシング
  • mTLSによる相互認証や、スマホアプリ等によるアクセス先ドメインの制限等による対策が可能です。
e)　暗号鍵の不正な取り出し・複製
  • マイナンバーカードのICチップが備える耐タンパ性による耐性を有します。

ウ　その他の考慮事項

a)　事業目的の遂行／公平性の考慮
  • 採用に当たっては、マイナンバーカードを保有していない方、暗証番号を覚えていない方、紛失中の方等の存在の考慮が必要です。
b)　アクセシビリティ及びユーザビリティに関する考慮事項
  • ログイン時には、実物のマイナンバーカードの読み取りが必要となりますが、スマートフォンでの読み取り時にはマイナンバーカードの表裏・上下の判別やスマートフォンを重ねる位置の確認を非視覚的に行うことが難しかったり、上肢に障害があると困難だったりすることがあります。また、暗証番号を覚えていない方はログインができなくなる点についても留意が必要です。
c)　その他の考慮事項
  • この機能の取扱いは、公的個人認証法に基づく必要があります。

2)　スマートフォンのマイナンバーカード（利用者証明用電子証明書）

ア　手法の概要

スマートフォンに搭載されたマイナンバーカード機能のうち、スマートフォン用の利用者証明用電子証明書（移動端末設備用利用者証明用電子証明書）を用いることで、実物のマイナンバーカードと同じく、公開鍵認証による当人認証を行うことができます。実装において適切なフィッシング対策を講じることで、当人認証保証レベル3の当人認証を実現できます。

イ　脅威耐性と留意事項

a)　オンライン上でのパスワードの推測
  • 暗証番号による当人認証はローカルで処理されるため、オンライン上での推測攻撃を受けません。
b)　盗聴・リプレイ攻撃
  • 通信の暗号化やチャレンジレスポンス等による対策が可能です。
c)　パスワードや認証器の盗用
  • 多要素認証であるため、単一の認証要素を盗まれた場合にも耐性を有します。
d)　フィッシング
  • mTLSによる相互認証や、スマホアプリ等によるアクセス先ドメインの制限等による対策が可能です。
e)　暗号鍵の不正な取り出し・複製
  • 移動端末設備用利用者証明用電子証明書はスマートフォンの安全な領域に格納され、不正な取り出しや電子的な複製攻撃への耐性を備えます。

ウ　その他の考慮事項

a)　事業目的の遂行／公平性の考慮

  • 採用に当たっては、マイナンバーカードを保有していない方、暗証番号を覚えていない方、マイナンバーカードに電子証明書を搭載されていない方[^25]、紛失中の方等の存在の考慮が必要です。

  • 移動端末設備用利用者証明用電子証明書を搭載可能なスマートフォンを有していない方への考慮も必要です。

b)　アクセシビリティ及びユーザビリティに関する考慮事項
  • 実物のマイナンバーカードと比べ、カードの読み取りが必要なく、暗証番号入力についても生体認証等で代替できる点で、アクセシビリティ及びユーザビリティに優れる手法です。
c)　その他の考慮事項
  • この機能の取扱いは、公的個人認証法に基づく必要があります。

3)　パスキー

ア　手法の概要

パスキーは、FIDO標準に基づきパスワードに代わる認証方式として普及が進められている手法です。パスキーはフィッシング耐性を有しており、かつ多要素認証として機能するため、当人認証保証レベル3の当人認証を実現できます。

なお、デバイス間で同期できる方式は「同期パスキー」、特定のデバイスから取り出せない方式のものは「デバイス固定パスキー」と呼ばれます。

イ　脅威耐性と留意事項

a)　オンライン上でのパスワードの推測
  • オンライン上で推測・試行され得るパスワードのような認証要素を利用しないため、攻撃を受けません。
b)　盗聴・リプレイ攻撃
  • 通信の暗号化やチャレンジレスポンス等による対策が可能です。
c)　パスワードや認証器の盗用

  • 多要素認証であるため、パスキーを格納したデバイスが盗まれた場合にも耐性を有します。

  • デバイスとアクティベーションに用いる暗証番号等が同時に盗まれた場合の耐性は有しません。

  • 同期パスキーの場合、何らかの手段によって同期に用いるアカウントを攻撃者に奪われた場合の耐性は有しません。

d)　フィッシング
  • パスキーはドメイン名と紐付けられる仕組みとなっており、紐づけられたドメイン名以外では使用できないため、フィッシング耐性を有します。
e)　暗号鍵の不正な取り出し・複製
  • 詳細については利用者が用いるデバイスや同期用クラウドサービス等の実装に依存します。多くの場合、パスキーはデバイス内の安全な領域に格納されます。また、同期パスキーがデバイス間で同期するときには、エンドツーエンドでの暗号化により保護されます。

ウ　その他の考慮事項

a)　事業目的の遂行／公平性に関する考慮事項
  • パスキーを利用可能なデバイスには対応条件があり、対応したデバイスの所持が前提となる点に考慮が必要です。
b)　アクセシビリティ及びユーザビリティに関する考慮事項
  • 他の当人認証手法と比べて比較的新しい手法であるため、利用者の認知度や理解度についての考慮が求められます。
c)　セキュリティに関する考慮事項

  • パスキー自体はフィッシング耐性を有していますが、パスキーの登録・再設定時の本人確認が不十分であった場合、そこが脆弱性となってなりすまし攻撃による不正アクセスやアカウント奪取等につながるおそれがある点に留意が必要です[^26]。パスキーの登録・再設定等のプロセスが脆弱性とならないよう、適切な設計が必要です。

  • 同期パスキーの場合、同期に利用するクラウドサービスのアカウントが乗っ取られた場合のリスクの考慮が必要です。

  • 利用者側のデバイスやOS、同期に利用するクラウドサービスによって、実装の差異が生じる点に留意が必要です。例えば、デバイス内に保存される秘密鍵の保護方法、パスキー利用時の当人認証（ローカルユーザー検証）の挙動、同期パスキーのバックアップ方法、エクスポートの可否、リカバリ方法等は、利用者側の環境等に依存します。

１.２　その他の当人認証手法

1)　パスワード認証＋ワンタイムパスワード認証

ア　手法の概要

ワンタイムパスワードは、一回限りのパスワードを生成して認証する方式です。ワンタイムパスワードの生成・伝達方法によって複数の方式があり、利用者側のスマートフォンのTOTP（Time-based One-Time Password）アプリでワンタイムパスワードを生成する方式や、サーバ側で生成したワンタイムパスワードを「認証コード」としてSMSや電子メール等によって送信する方式等が代表的です。

いずれの方式においても、ワンタイムパスワードは所有物認証としてみなすことができ、知識認証であるパスワード認証と組み合わせることで当人認証保証レベル2に該当する多要素認証として機能します。ただし、ワンタイムパスワードはフィッシングへの耐性を有さない点には留意が必要です。また、ワンタイムパスワードの生成又は送信方法によって脅威や留意事項が異なります。

イ　脅威耐性と留意事項

a)　オンライン上でのパスワードの推測
  • ワンタイムパスワードは通常ランダムに生成されるため、オンライン上での推測攻撃に耐性を有します。
b)　盗聴・リプレイ攻撃
  • 盗聴に対しては通信の暗号化等により対策します。ワンタイムパスワードのリプレイ攻撃に対しては、ワンタイムパスワードの有効期限が短期間であること、ワンタイムパスワードによる認証回数を1回きりに制限することによって耐性を有します。
c)　パスワードや認証器の盗用

  • 多要素認証であるため、単一の認証要素を盗まれた場合にも耐性を有します。

  • パスワードとワンタイムパスワードを生成又は受信する環境が同時に盗まれた場合の耐性は有しません。

d)　フィッシング
  • 利用者が偽サイトに誘導され入力したワンタイムパスワードを攻撃者が正規サイトに中継することでの不正アクセスが可能であるため、フィッシングへの耐性を有しません。
e)　暗号鍵の不正な取り出し・複製

  • TOTP方式の場合、ワンタイムパスワードの生成に使用する暗号鍵（シード値）が漏えいするとワンタイムパスワードを推測可能となるため、安全に管理する必要があります。

  • SMSや電子メール等によってワンタイムパスワードを送信する方式の場合は、該当する脅威はありません。

参考情報：「誤ログイン」を防ぐ副次的効果について

昨今、ログイン時のIDにはメールアドレスを用いることが一般的ですが、大量のユーザを抱えるサービスにおいては、一文字しか違いのないような似たようなメールアドレスがIDとして用いられることになります。

このような状況で安直なパスワードが用いられていた場合、ユーザがIDを誤って入力してしまい、さらにパスワードも偶然一致して他者のアカウントに意図せずログインしてしまう「誤ログイン」が発生するケースがありますが、ワンタイムパスワードを組み合わせた認証においては、このような誤ログインの発生を防ぐことができる副次的効果が期待できるとされています。

ウ　その他の考慮事項

a)　事業目的の遂行／公平性に関する考慮事項
  • それぞれの方式において、ワンタイムパスワードの生成又は受信のための環境の所持が前提となる点に考慮が必要です。具体的には、TOTP方式の場合はスマートフォンのAuthenticatorアプリ、SMSで送信する方式の場合はSMSを受信できる携帯電話番号、電子メールで送信する場合は電子メールアドレスの所持が前提となります。
b)　アクセシビリティ及びユーザビリティに関する考慮事項
  • パスワード認証＋ワンタイムパスワード認証をログインのたびに求めることは、ユーザビリティの面では好ましくありません。ワンタイムパスワード認証に短い時間制限がある場合は、アクセシビリティ観点での懸念も生じます。利用者側のOSやブラウザが備えるワンタイムパスワードの自動入力機能を利用可能としたり、ログインは単要素認証のみで可能としつつ、高リスクの操作を行う場合にのみワンタイムパスワードを組み合わせた多要素認証を求めたりするといった検討が望まれます。
c)　セキュリティに関する考慮事項

  • フィッシングへの耐性を有していない点に十分な留意が必要です。

  • ワンタイムパスワードを生成又は伝達する方式によって、下表のように考慮すべき脅威が異なります。

表 １‑1　ワンタイムパスワードの方式別の主な脅威
No. 方式 考慮すべき脅威
1 利用者側のデバイスでTOTPを生成

  • ワンタイムパスワードの生成に係るシード値が漏えいし、攻撃者側の環境でワンタイムパスワードを生成される

  • TOTP生成アプリに紐づくアカウントが乗っ取られ、攻撃者にワンタイムパスワードが窃取される
2 SMS等で認証コードを送信

  • SIMスワップにより、利用者が携帯電話番号を不正に奪取される

  • 第三者によってSMS等の認証代行が行われる

  • 通信が暗号化されておらず、経由する通信網に脆弱なプロトコルが用いられていた場合にSMSが盗聴される
3 電子メールで認証コードを送信

  • 電子メールアカウントが乗っ取られ、認証コードが奪取される

  • 電子メールの中継中の盗聴により認証コードを奪取される

  • メールの自動転送やメールアカウントの共有等が不適切に行われ、本来の利用者以外に認証コードが伝送される

  • ワンタイムパスワードを伝達するための電子メールを標的型攻撃の起点として悪用される

2)　パスワード認証

ア　手法の概要

パスワード認証は、あらかじめ登録した文字列によって利用者を認証する方式です。オンラインサービスにおいて最も普及している当人認証手法の１つです。

しかしながら、利用者側が複数のサービスで同じパスワードを使い回すことが少なくなく、他のサービスから漏えいしたパスワードによって不正アクセスを受けるリスクが大きな問題となっています。また、フィッシングに対しても耐性がなく脆弱です。これらのリスクは、利用者側の運用や注意に依存する部分が多分にあり、サービス提供側での根本的な対策が難しいのが実情です。

加えて、利用者側にとっても複数のサービスのパスワードを覚える必要があるなど利便性が良いとは言えない方式であるため、昨今はパスワード認証を用いない「パスワードレス」な認証方式を採用することが、民間サービスでの一つの潮流となっています。

イ　脅威耐性と留意事項

a)　オンライン上でのパスワードの推測
  • パスワードの複雑性の確保、一定時間当たりの認証試行回数の制限等により対策を講じる必要があります。
b)　盗聴・リプレイ攻撃
  • 通信の暗号化等により対策します。
c)　パスワードや認証器の盗用
  • 耐性を有しません。
d)　フィッシング
  • 耐性を有しません。
e)　暗号鍵の不正な取り出し・複製
  • 利用者側で暗号鍵は管理しないため、該当する脅威はありません。

ウ　その他の考慮事項

a)　アクセシビリティ及びユーザビリティに関する考慮事項

  • パスワードの設定画面や入力画面は、利用者がパスワードマネージャーを円滑に利用できる実装とすべきです。パスワードマネージャーの利用を禁止又は阻害するような実装は、ユーザビリティを低下させるだけでなくフィッシングに対しても脆弱となるため、推奨されません。なお、「パスワードマネージャーの利用を禁止又は阻害するような実装」とは、以下のような実装が該当します。

    • 利用可能な特殊文字やパスワード長が、一般的なパスワードマネージャーの仕様に対応しておらず、パスワードマネージャーが生成したパスワードがエラーとなり登録できない

    • IDやパスワードの入力欄において、オートフィル機能に向けた適切な属性が設定されていない又は明示的にオートフィル機能を無効化されていることで、パスワードマネージャーが円滑に起動できない

    • IDの入力欄が複数に分割されているなど、一般的なパスワードマネージャーの入力に対応していない

    • パスワード設定時のドメイン名とログイン時のドメイン名が異なるなどして、ログイン時にドメイン名に紐づくパスワードをパスワードマネージャーが自動選択できず、利用者が手動で選択しなければならない

    • IDやパスワードの入力欄において、コピー＆ペーストが無効に設定されている

b)　セキュリティに関する考慮事項

  • フィッシングへの耐性を有していない点に十分な留意が必要です。

  • 利用者側が複数のサービスで同じパスワードを使い回すことが少なくなく、他のサービスから漏えいしたパスワードによって不正アクセスを受けるリスクがあります。利用者側のパスワードの使い回しが原因である場合であっても、サービス提供側に不正アクセスについて一定の責任が問われるケースもあります。

  • パスワード認証に関する詳細な要求事項（パスワード長の要求事項、複雑性等）については、NIST SP 800-63B-4についても参考とすることが望まれます。

参考情報：パスワードについてのコラム

コンピュータの黎明期から半世紀以上にわたり、Identity and Access Management (IAM) の世界においてパスワードは最も一般的な認証手段です。人間の脳内に保存でき、キーボードさえあれば提示できる「柔軟性」は、サービス提供者・利用者の双方に、利便性を提供してきました。

本論に入る前に、言葉の定義を明確にしておきましょう。ここで話題にする「パスワード」とは、インターネットなどの通信路を通じてリモートのサービス（パスワードの検証者）に送信・提示される文字列を指します。スマートフォンやPCのロック解除に用いる、デバイス内（ローカル）で完結するもの（しばしばPINと呼ばれる）とは明確に区別します。

この「リモートに送るパスワード」が今、デジタル社会における大きなリスク要因となっています。

認知能力の限界という「人間の脆弱性」

現代において、個人のプライバシー、資産、信用は少なくない範囲でデジタルデータとして管理されています。しかし、それを守るドアの鍵が「人間の記憶」に依存している点に、技術的な対策だけで解決が難しい構造的な問題が生じています。人間の認知能力には限界があり、 記憶できるパスワードの数は限られます。忘却はログイン手段の喪失を意味するため、利用者は無意識のうちにパスワードの「使い回し」や「安易なパターン化」という行動をとるといわれています。これは利用者個人の怠慢ではなく、生物学的な限界、すなわち「人間そのものに存在する脆弱性」とも言えるものです。

たとえば、パスワードの使いまわしによって、あるサイトで漏えいしたIDとパスワードで別のサイトへなりすましログインされてしまうリスト型アカウントハッキングや、「緊急」「アカウント停止」といった言葉で利用者を焦らせ、人の判断力を鈍らせ、本物そっくりの偽サイトでパスワードを入力させるフィッシングは、人間の認知能力の限界からくる典型的な攻撃として知られています。

攻撃の経済合理性と防御のアンバランス

攻撃者にとって、パスワードで保護されたサービスに対する攻撃は「コストパフォーマンスの良い」攻撃方法になりえます。インターネットを介して自動化されたツールを利用し、短期間に膨大な回数、大量の利用者を対象とした試行が可能です。成功率がわずかでも、試行回数が膨大なので十分に元が取れる、つまり攻撃者側に明確な合理性が生じうるということを意味します。

これに対し、サービス提供者がパスワードを使い続けたまま、例えば「リスクベース認証」などの発見的な対策を組み合わせて利用者を保護しようとしても期待した効果を得るのは簡単ではありません。つまり、パスワードだけの保護という不安定な土台の上に、発見的な防御策を講じるのはアンバランスであり、まずは多要素認証あるいはフィッシング耐性のある認証手段を採用したうえで追加の対策を組み合わせる方が理にかなっています。

パスワードマネージャーは理想的な解になるか？

現在、多くのセキュリティ専門家がパスワードマネージャーの利用を推奨しています。パスワードマネージャーには強度の高いパスワードの生成・管理や、URLを機械的に比較した自動入力機能等の機能があり、人間の認知能力への依存度を下げるため有用です。一方、パスワードという形態である以上、最終的に「人間が介在する余地」が残ります。例えば、マネージャーが動かない場面で利用者が手動入力を試みたり、巧妙なフィッシングサイトに誘導されたりした場合、すなわち人間が介在した瞬間にシステムは脆弱になります。パスワードマネージャーは優れた解決策ではあるものの、利用者が選択的に利用するものである限り、根本的な解決策にはならない点に留意しておくのが良いでしょう。

「利用者の責任」から「システムの責任」へ

従来からセキュリティの世界では「強いパスワードを考え、管理するのは利用者の責任」とされてきました。一方、昨今は「パスワードは漏えいし、攻撃されるものである」という前提に立つ必要があります。

利用者にパスワード認証だけを提供し、なりすまし被害のリスクを利用者に転嫁することはサービス提供者としての責任を果たしているとは言えない状況になりつつあります。これからは、利用者の記憶（Something you know）に依存せず、所持（Something you have）や生体（Something you are）を組み合わせること、そして「フィッシング耐性」を有する方式を採用することが重要です。

「パスワードだけで利用者を保護するのは技術的に困難」な時代において、適切な認証手段を採用するための取り組みが求められています。

別紙３　参考資料一覧

本別紙では、ガイドライン本編に基づく検討や、本人確認に関連するシステム整備等の実務において参考となる外部資料とその概要を示します。

なお、各文書の概要やURLについては本解説書の執筆時点（2026年2月時点）のものですので、参照される際には改版の有無を確認の上で、最新版を参照してください。