令和5年度秋期 情報処理安全確保支援士 午前Ⅱ 問14

午前II 問14 OAuth 2.0は「本人確認」じゃなくて「入場許可証を渡す仕組み」だよ

OAuth 2.0は、ログインして本人かどうかを確かめる「認証」そのものではなく、アプリにどこまで使わせるかを決める「認可」の仕組みだよ。たとえば、写真サービスに「このアプリにはアルバムを見る権限だけ渡していいよ」と許可すると、認可サーバがその許可に基づいてクライアントへアクセストークンを渡す、という流れなんだ。

この問題で問われていること

この問題では、「認証」と「認可」を混同せずに区別できるか、そしてOAuth 2.0で登場するリソースオーナー、クライアント、認可サーバなどの役割関係を整理できるかが問われているよ。

OAuth 2.0

利用者の許可を受けたクライアントに対し、認可サーバがアクセス権限を与える。

利用者の許可\n-> 認可サーバ\n-> クライアントへ権限付与

確認ポイント

• 本人確認だけを目的とする認証プロトコルではありません。
• 認可サーバが利用者本人確認だけをする説明は不十分です。
• 利用者の許可に基づく権限付与を選ぶ。

正解

イ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。最初の『認可を行うためのプロトコル』は合っているけど、後半の『本人であるかどうかを確認する』が認証の説明になっているよ。認可は『入っていい部屋はどこまで？』を決める話で、認証は『あなたは本当に本人？』を確認する話。入館証を見て本人確認する窓口の仕事を、合鍵を渡す係の仕事として説明してしまっている感じだよ。

選択肢イ（正解）

これは正解だよ。OAuth 2.0は、本人確認そのものではなく『このアプリに、この範囲だけ使わせていいよ』と権限を渡すための仕組みだよ。たとえばホテルのフロントで、宿泊者の許可を確認して、清掃スタッフに部屋全部ではなく清掃に必要な範囲の鍵だけ渡すイメージ。認可サーバが、利用者の許可をもとにクライアントへ適切な権限を付与する、という説明がぴったりだよ。

選択肢ウ

これは不正解だよ。この説明は『アクセスしてきた人が本人か確認する』という認証の説明としては自然だけど、OAuth 2.0の説明としては違うよ。OAuth 2.0の中心は、本人確認ではなく、利用者の許可をもとにサービスへ権限を渡すこと。つまり『身分証で本人確認する仕組み』ではなく、『必要な範囲だけ使える合鍵を渡す仕組み』だと押さえよう。

選択肢エ

これは不正解だよ。説明の後半は「利用者の許可を得て、サービスに権限を渡す」というOAuth 2.0の話として合っているけど、最初の「認証を行う」が間違い。認証は『あなた本人ですか？』の本人確認、認可は『このサービスに写真を見る権限を渡していいですか？』の許可出しだよ。合鍵を渡す話なのに、身分証チェックの話だと言っているのがズレているんだ。