認証認可について

1. 認証・認可
2021/7/2(金) 松田幸典

2. 今回実際に調べてみて,,,
• まず、認証認可の話は奥が深い！！！
• 調べていくうちにOAuthやOpenID Connectなど色々出てくる
• 認証認可？ログインのことやろ？,,

3. 認証と認可について
認証 (Authentication)
• 通信の相手が誰(何)であることかを確認すること
• 成り済ましでないことを確認すること
認可 (Authorization)
• 特定の条件に対して、リソースアクセス権限を与えること
→ 権限を与えること

4. 認証と認可 HTTP statusの話
認証 (Authentication)
• 401 Unauthorized — 認証の失敗
• 「おまえ誰だよ」
言葉は似てるけど別の概念!
認可 (Authorization)
• 403 Forbidden — 認可の不足
• 「理解した、だが断る」

5. 認証の話
認証 (Authentication)
• 通信相手のID(属性)をなりすましではないことを確信すること
認証要素 現実の世界 電子の世界
あなたはだれ？ 顔、声、署名筆跡 生体認証(指紋、声紋認証)
何をもってるの？ 印鑑、身分証明書、カード
携帯電話,電子証明書,
セキュリティートークン
あなたはだれ？ 合言葉 パスワード

6. (key) 錠(lock)

7. 認可 の話
認可 (Authorization)
• 誰かに を渡すこと。
• 例えば乗車券
• 切符を持って入れば、電車に乗れる。なければ乗れない。
• 認可に身元確認は必須ではない
や切符から「誰か」はわからない

8. 1.ユーザーに「 (key)」を与える。
2.リソースに「錠(lock)」をかける。
3.アクセス時に を使って解錠する。
ポリシー定義
ポリシー施行

9. アクセストークン
・認証済みユーザーを識別するための文字列。
・トークン・・・「証拠」「しるし」「象徴」

10. 認証と認可 の密結合の話
認証 (Authentication) と 認可 (Authorization)
・相手はAさんだ！ だからアクセス許可
・相手はAさんでない! アクセスは許可されない
・アクセスが許可された、つまりAさん(!?)
・アクセスが許可されなかった、つまりAさんでない
→この様に認証と認可の、逆・裏・対偶が出てくる。

11. 認証と認可 の話
• 認証に基づく認可
これが多くの人が考えるパターン。
例）運転免許書などがいい例。
• 認可に基づく認証(!?)
例) この人はAさんの家の を持ってるから、Aさんだね
→これの考えがOAuth認証の考えにつながる。