認証（Authentication）は、アクセスしてきた相手が 本当に本人かを確かめる ことです。ログインは、その代表例です。
本人確認の手がかりは、大きく3種類に分けられます。
- 知っているもの … パスワード、暗証番号。
- 持っているもの … スマホに届くコード、ICカード。
- 本人自身 … 指紋、顔などの生体情報。
パスワードのように1種類だけに頼るのは、それが漏れると突破されてしまいます。そこで、複数を組み合わせて安全性を高めるのが 二要素認証 です。
flowchart LR A["認証：あなたは誰?"] --> B["認可：あなたに何を許す?"]
よく混同されますが、「誰か」を確かめる認証 と、「その人に何を許すか」を決める 認可 は別物です。まず認証で身元を確かめ、次に認可で権限を決める——この順で使われます。パスワードは、そのまま保存せず ハッシュ化 して守るのが鉄則です。