【基礎から学ぶ情報技術】 認証システムの解説 ～パスワード・アカウント・ログイン・ログアウトの意味とは？～

今回は、「認証システムの解説」についての説明です。

１．初めに

私たちは、日常的にパソコンやスマートフォンなどのコンピュータを使ってインターネットを利用しています。

インターネットとは、世界中に存在するコンピュータの間に形成されたネットワークを繋ぎ合わせた大規模な情報通信網のことです。
要するに、今手元にあるコンピュータは世界中のどこかにあるコンピュータと繋がっていて、そのどこかにあるコンピュータと情報のやり取りをする仕組みが形成されているんです。
だからこそ、インターネットで知らない用語を検索したり、ネットショッピングが出来たりするわけです。

このように便利な世の中になっているわけですが、反面危険も増えています。
気軽に個人情報という機密性の高い情報をやり取りできてしまうからです。

仮にネットショッピングをした際のクレジットカード情報がコンピュータに残っていたとします。
このコンピュータを自分で使う分には何も問題無いのですが、もし他人がこのコンピュータを使えてしまったらどうなるでしょうか？
勝手に人のクレジットカードで買い物が出来てしまうんですよ。
なので、誰でもコンピュータを取り扱えるようにしてしまうと非常に不味いのです。

そこで、コンピュータ起動時やネットワーク接続時などに、門番みたいな働きをする認証システムが用意されています。
本人確認をするためのシステムです。

今回は、そんな認証システムについて解説していこうと思います。

２．認証システムとパスワード

コンピュータにしろネットワークにしろ、門番のような認証システムが必要なことはわかっていただけたかと思います。

では、Aさんが日常的に使用しているコンピュータがあったとして、コンピュータ側は実際にどのように本人確認をしているのでしょうか？
答えは、Aさんしか知らない“合言葉という名の鍵”を設けている、です。

この鍵のことをパスワードと呼びます。
[pass(通り過ぎる)]するための[word(文字列)]だから“パスワード”です。
「abcd」・「1234」・「ab12」などの文字列をAさんと紐付けたパスワードとして設定することで、Aさんのフリをしたとしても『パスワードを知らないお前はAさんでは無い』と弾かれるわけです。
認証システムの基本的な部分は、このパスワードで成り立っているのです。

ただ、この認証システムには2点問題があります。

1つ目の問題点は、パスワードの忘却です。
Aさんしか知らないパスワードをAさんが忘れたら、当然ながら認証システムを通過できないんですよ。
そんな場合に備えて、パスワード以外にも電話番号・メールアドレスなども登録しておくのが普通です。
それでも対応できない場合は、改めて別人として登録をやり直す必要があります。

2つ目の問題点は、パスワードさえ合っていれば認証出来てしまう点です。
簡単に言えば、パスワードを知っていさえすればBさんでもAさんだと認識されてしまうのです。
その為、同じ英数字の羅列や生年月日など、誰でも想像しやすい文字列をパスワードに設定するのはよろしくないです。
なので、パスワードを設定する際は「何文字以上」・「英数字を使用する」などの最低限のルールが設けられていることがほとんどです。
「1111」というパスワードよりも、「s9tke0f71」のようなパスワードの方が当てるのが難しいに決まっているでしょう？

基本的には、誰でも認証システムを試すことができるような場所では英数字7～8文字以上、キャッシュカードなど本人しか持っていないものが別途存在する場合は数字4文字程度のパスワード(暗証番号とも呼ぶ)になっていることが多いです。
本人しか持っていないものという証明物があるのなら、そのモノを持っている時点でほぼ本人ですからね。
パスワードも複雑にする必要が無いのです。

ただ、キャッシュカードを他人が拾った・盗んだ可能性はゼロでは無いので、最低限のパスワードは残しているのです。

３．認証システムへの登録とアカウント

認証システムがどのようなものなのかは説明したので、次は認証システムへの登録のお話に移ります。

そもそも、どんな時に認証システムが必要になると思いますか？
既に例に挙げているものもありますが、以下のような場合に認証システムが必須になります。
(※一例です)

要するに、コンピュータを使ってネットワークに繋いだ時、機密情報(本人情報など)を少しでも含むサービスを使用する場合は全てに認証システムが存在するのです。
そうしないと、個人情報が漏れて迷惑電話がかかってきたり、自分のメールアドレスで勝手にメールを出されたり、自分のクレジットカードで勝手にネットショッピングされてしまうわけですからね。

その為、何らかのサービスの利用する際は、サービスを利用する権利を得る必要があります。
サービスを利用する上での契約事項を読んで同意をし、ユーザー名やパスワードなどを設定し、初めてサービスを使用できるようになるのです。

このように、何かしらのサービスを受けるために個人に付与される権利のことをアカウントと呼びます。
簡単に言えば、身分証明書やお客様情報みたいなものです。

スーパーのポイントカードを発行するために書類を記入したり、LINEをするために最初に個人情報を入力したりしますよね？
あれらも、全部アカウント(権限)を得るための行動です。
ああして登録をすることで、『このアカウントの持ち主ならサービスを受ける権利があるよ！』という具合に管理しています。
「アカウント=権利・権限」だと認識しておけば問題無いです。

何らかの契約時によく見聞きする用語なので、説明するまでもなく何となく意味を理解している方は多いかと思います。
まあ、私の母は知らなかったんですけどね。

ちなみに、英単語のアカウント[account]の意味は[口座]です。
一部意味は掠ってはいるのですが、本来の意味とは違う使われ方をしているんです。

４．アカウントの登録内容とID

アカウントの登録内容はその受けるサービスによって変わってきますが、絶対に登録が必要になる要素が2つあります。
1つは先程説明したパスワードで、もう1つはIDと言うものです。
ユーザー名やユーザーIDと表記されていることもあります。

IDとは、[identification]の略称です。
意味は[身元・識別]です。
IT用語としても本質的な意味は変わらず、個人を識別するために割り当てられる符号・羅列のことを指しています。
つまり、AさんならAさんを表す名前を登録する必要があり、その名前がIDなのです。
身近な例だと、出席番号や免許証の番号や社員番号などの個人個人で異なる管理番号がIDに当たります。

ただ、IDは自分で決定する場合もありますし、アカウント作成時に自動的に割り振られる場合もあります。
今例に挙げた管理番号は全て後者の自動割り振りですね。
どちらのパターンなのかはそのサービス元が決定していますが、大体は自動割り振りになっています。
みんな好き勝手にIDを決めるより、サービス元が指定した規則に則ってIDを決めた方がサービス元にとって管理しやすいに決まっていますからね。

このIDとパスワードがあれば、図1に示した認証システムを最低限構築できます。

IDは個人を識別するための番号なので、重複は一切許されません。
なので、名前そのままで管理しようとすると同姓同名の方が居たら詰みます。

そこで、IDは基本的に英数字で管理されます。
英数字なら符号の並びに意味を持たせることも可能ですからね。
西暦2021年入社なら“21”から始まり、購買部門なら“0”、技術部門なら“1”と続く…とかね。

５．認証に必要なモノについて

アカウント登録で絶対に必要なのはIDとパスワードでしたが、そのアカウントでの認証システムに必要になるのはIDとパスワードだとは限りません。

会社に所属すると個人個人でアカウントが登録され、社員証を渡されるかと思います。
この社員証を特定の箇所にかざすことで、出社/退社用の門が開いたり、社内に設置されたドアを開けたりすることができるようになります。

こんな管理方法をしている理由は、社員以外を会社の中に入れないため、特定のエリアに権限の無い人間を入れないためです。
なので、門やドアを通過するという行為は、個人のアカウントで認証システムを通過していることに等しいのです。
つまり、この社員証がアカウント代わりになっているのです。

自分の預金口座に入金・出勤するためのキャッシュカードも、買い物に使用できるクレジットカードも、同じくアカウント代わりのものなのです。

６．ログインとログアウトとセッションの関係

ログインとログアウトについて

ここまで説明した通り、ネットワーク経由でサービスを受けるには何でもかんでもアカウントの登録が必要で、そのアカウント情報を使って認証システムを通過することで初めてサービスを受けれるようになっています。

このように、コンピュータやネットワークにおける認証システムを正規の手順で通過することをログインと呼びます。
逆に、コンピュータやネットワークにおける認証システムを正規の手順で解消することをログアウトと呼びます。

一度ログインを完了すると、場合によっては一定時間経過することで強制的にログアウトさせられることもありますが、基本的には自分でログアウトしない限りはログイン状態が維持されます。
その為、コンピュータの使用を終えたら、しっかりと自分でログアウトしましょう。

自分のアカウントでコンピュータにログインしたまま放置すると、権限の無い人でもコンピュータの操作が出来てしまいますし、勝手に操作されたとしても自分が操作したと認識されてしまうので百害あって一利なしですからね。

セッションについて

何かしらの開始から終了までの一連の通信のことをセッションと呼びます。
英語では[session]と書き、意味は[会議・集まり]となっています。

ログインしたら、その状態を維持すると述べましたよね？
なので、コンピュータやネットワークにログインしてからログアウトするまでの一連の通信は1セッションと呼びます。

他にも、今こうして閲覧しているインターネットのページを閉じるまでの通信も1セッションということになります。
セッションは単位でもあるんですね。

“一連”という部分が肝で、例えば今開いているページから本サイト内の他のページを閲覧したとします。
この場合、私の運営しているサイト内であることには変わりはないので、何ページ閲覧しようが1セッションという扱いになります。

これに対して、今開いているページを表示してそのまま数時間放置してから、本サイト内の別のページを閲覧したとします。
この場合、2セッションという扱いになります。
途中で時間を空け過ぎたせいで通信が連続ではなくなり、セッションが切れちゃうんです。

何らかの会員専用ページにログインした状態でパソコンを放置していたら、『セッションがタイムアウトしました。』というメッセージが出たことはありませんか？
あのメッセージは、『ログインしたまま放置していたので通信を一旦終了しました。』という意味なのです。

ログインとログアウトの呼び名

ログインとログアウトについて説明しましたが、使用するコンピュータによってその名称が変わっていることがあります。
具体的には、「ログイン」は「ログオン」・「サインイン」、「ログアウト」は「ログオフ」・「サインオフ」と表示されていることがあります。

それぞれ何が違うのか疑問に思ったことはありませんか？
私も疑問に思って調べてみたのですが、明確な違いは定義されていないみたいです。
つまり、使用するOS(コンピュータを操作するための根幹を担うシステムのこと、WindowsやMacなどが該当)や利用するサービスによって呼び方が違ったりするだけで、指している内容は同じなのです。
気にしないようにしましょう。

言葉の意味で考えると、ログイン⇔ログアウト、ログオン⇔ログオフ、サインイン⇔サインアウトがそれぞれ対応しているので、そこの区別だけ付けておけば問題無いです。

７．認証システムの利点

認証システムは本人確認をするためのシステムでしたが、本人確認以外でも役立つ機能が存在します。
それは「管理のしやすさ」です。

例えば、会社にて「ID：00001」はAさん、「ID：00002」はBさんと登録されていたとします。
こうして登録しておくことで、『【ID：00001】がパスワードを入力してコンピュータにログインしてきたからこれはAさんだ』とか、『【ID：00002】の社員証が17:30にゲートを通過したからこれはBさんで、Bさんは17:30に帰宅したんだ』とか、誰がいつ何をしたかという情報が簡単にわかるようになっています。

このように、社員がどこで何をしていたのかを容易に管理できるのです。

たまに、残業時間を長めに申請して懲戒処分を受けている阿呆がいますが、アレは社員証によるドアや門の通過時間や、パソコンの電源を切ってログアウトした時間と照らし合わせて齟齬が生じているからバレるのです。
どこで何をしていたのが実質監視されているので、嘘は即バレします。

まあ、社員全員の行動を逐一監視するほど会社も暇ではないので、調子に乗って不正を繰り返しでもしない限りバレやしないんですけどね。
違和感を持たれた時に管理していたアカウントデータを見返され、不正がバレるのです。

上記のような管理をされているので、尚更個人アカウントの流出は死活問題になります。
自分のアカウントで共有フォルダ内のデータを削除したりしたら、普通に自分のせいにされますからね。
しっかりと管理するように心掛けましょう。

以上、「認証システムの解説」についての説明でした。

---