応用情報技術者試験過去問を解いてみた R6年度春期問35

はじめに

今回も、応用情報技術者試験の過去問を解いていきます。

今回のテーマは 3Dセキュア2.0（EMV 3-Dセキュア） です。

オンラインショッピングでクレジットカードを使うとき、カード番号などが第三者に知られてしまうと、不正利用されるおそれがあります。

そのため、カード番号などの情報だけでなく、

「実際に操作しているのがカード会員本人なのか」

を確認する仕組みが必要になります。

その代表的な仕組みの一つが、3Dセキュアです。

今回の問題では、3Dセキュア2.0で用いられる リスクベース認証 の考え方が問われています。

問題

3Dセキュア2.0（EMV 3-Dセキュア）は，オンラインショッピングにおけるクレジットカード決済時に，不正取引を防止するための本人認証サービスである。
3Dセキュア2.0で利用される本人認証の特徴はどれか。

ア
利用者がカード会社による本人認証に用いるパスワードを忘れた場合でも、安全にパスワードを再発行することができる。

イ
利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。

ウ
利用者の過去の取引履歴や決済に用いているデバイスの情報にかかわらず、カード会社がパスワードと生体認証を併用した本人認証を行う。

エ
利用者の過去の取引履歴や決済に用いているデバイスの情報に加えて、操作しているのが人間であることを確認した上で、カード会社が追加の本人認証を行う。

解答

正解：イ

解説

3Dセキュア2.0を理解する上で重要なのが、

「すべての決済で利用者に同じ認証操作をさせるわけではない」

という点です。

決済時には、カード発行会社などがさまざまな情報を利用して、その取引が不正利用である可能性を評価します。

例えば、次のような情報がリスク評価に利用されます。

過去の取引履歴
利用しているデバイス
取引金額
IPアドレス
利用場所
加盟店に関する情報

これらの情報からリスクが低いと判断された場合には、利用者に追加の認証操作を求めずに認証処理が完了することがあります。

一方、リスクが高い場合などには、ワンタイムパスワードやアプリを利用した認証など、追加の本人認証を求めることがあります。

このように、

取引ごとのリスクに応じて認証方法を変える

という考え方がリスクベース認証です。

図：3Dセキュア2.0の基本的な流れ

オンラインショップでカード決済
            ↓
取引情報・デバイス情報などを送信
            ↓
カード発行会社などがリスクを評価
            ↓
      ┌───────────────┐
      │              　　　　　　　  │
 リスクが低い       　　　　　　　追加確認が必要
      │            　　　　　　　    │
      ↓             　　　　　　　   ↓
追加操作なし       　　　　　　　追加の本人認証
で認証完了        　　　　　　　 を実施
      │             　　　　　　　   │
      └───────┬───────┘
            　　　　  ↓
           　　　　 決済

ここで重要なのは、

「リスクが低い＝認証していない」ではない

という点です。

利用者にパスワード入力などの操作を求めていないだけで、システム側では取引情報などを利用して認証・リスク評価が行われています。

Frictionless FlowとChallenge Flow

3Dセキュア2.0では、大きく分けて次の2つの流れがあります。

方式	内容
Frictionless Flow	利用者に追加の認証操作を求めずに認証する
Challenge Flow	追加の本人認証を利用者に求める

Frictionless Flow

取引情報などからリスクが低いと判断された場合などに利用されます。

利用者から見ると、追加のパスワード入力などをせずに決済が進みます。

そのため、購入途中での離脱を減らしやすく、利便性を高めることができます。

Challenge Flow

追加の本人確認が必要と判断された場合などに利用されます。

例えば、

ワンタイムパスワード
カード会社のアプリによる認証

などが求められることがあります。

従来の3Dセキュアとの違い

従来の3Dセキュアでは、固定パスワードなどを利用した本人認証が広く使われていました。

しかし、決済のたびに利用者へ認証操作を求めると、

パスワードを忘れる
入力が面倒
決済途中で離脱する

といった問題が起こりやすくなります。

そこでEMV 3-Dセキュアでは、より多くの取引情報を利用してリスクを判定し、必要な場合に追加認証を行う仕組みが強化されました。

項目	従来の3Dセキュア	EMV 3-Dセキュア
リスク判断に利用する情報	比較的限定的	取引情報・デバイス情報などを幅広く利用
利用者の追加操作	発生しやすい	低リスクでは不要な場合がある
高リスクな取引	本人認証を実施	Challenge Flowなどで追加認証
モバイル対応	制約があった	スマートフォンやアプリ利用を考慮

つまり、3Dセキュア2.0では、

セキュリティを維持しながら、必要以上に利用者へ認証操作をさせない

という考え方が重要になっています。

各選択肢の解説

選択肢	判定	解説
ア	×	パスワードの安全な再発行について述べていますが、3Dセキュア2.0の特徴を説明したものではありません。
イ	○	取引履歴やデバイス情報などからリスクを判断し、必要に応じて追加認証を行うリスクベース認証の説明です。
ウ	×	3Dセキュア2.0では、すべての取引でパスワードと生体認証を必ず併用するわけではありません。
エ	×	「操作しているのが人間かどうかを確認する」という考え方はCAPTCHAなどに近く、3Dセキュア2.0の特徴ではありません。

問題の用語解説

3Dセキュアとは

3Dセキュアとは、インターネット上でクレジットカード決済を行う際に、カード会員本人であることを確認するための認証の仕組みです。

クレジットカード番号や有効期限などのカード情報だけで決済するのではなく、本人認証を追加することで不正利用の防止を図ります。

代表的なサービスには、次のようなものがあります。

Visa Secure
Mastercard Identity Check
J/Secure

EMV 3-Dセキュアとは

EMV 3-Dセキュアは、EMVCoが仕様を策定・管理しているオンラインカード決済向けの本人認証規格です。

EMVCoは、国際的な決済技術の仕様を策定・管理している組織です。

応用情報技術者試験では、

EMV 3-Dセキュア（3Dセキュア2.0）

として扱われています。

リスクベース認証とは

リスクベース認証とは、

アクセスや取引の状況からリスクを評価し、そのリスクに応じて認証方法を変える仕組み

です。

例えば、

いつもの端末
＋
いつもの利用場所
＋
通常範囲の取引
        ↓
リスクが低い
        ↓
追加認証操作なし

一方、

普段と異なる環境
＋
新しいデバイス
＋
通常と異なる取引
        ↓
リスクが高い可能性
        ↓
追加の本人認証

という考え方です。

ただし、特定の条件に該当したから必ず追加認証になるわけではありません。

複数の情報を総合的に評価して判断されます。

ワンタイムパスワード

ワンタイムパスワードは、一度だけ、または短時間だけ利用できるパスワードです。

固定パスワードとは異なり、仮に第三者に知られても再利用しにくいという特徴があります。

3Dセキュアの追加認証でも利用されることがあります。

CAPTCHA

CAPTCHAは、Webサイトを操作しているのが人間なのか、自動プログラムなのかを判別するための仕組みです。

例えば、

画像を選択する
文字を入力する
チェックボックスを操作する

といった方式があります。

今回の選択肢エにある、

「操作しているのが人間であることを確認する」

という部分はCAPTCHAに近い考え方ですが、3Dセキュア2.0のリスクベース認証そのものを説明したものではありません。

体系的位置づけ

今回の問題を情報セキュリティ分野の中で整理すると、次のようになります。

情報セキュリティ
│
└─ 認証技術
   │
   ├─ パスワード認証
   │
   ├─ ワンタイムパスワード
   │
   ├─ 多要素認証
   │
   ├─ 生体認証
   │
   ├─ リスクベース認証
   │     └─ EMV 3-Dセキュア
   │          （3Dセキュア2.0）
   │
   └─ CAPTCHA

今回の問題では、特に

「リスクベース認証とは何か」

を理解できているかどうかがポイントになります。

今回の問題の重要ポイント

今回の問題で覚えておきたいポイントは、次の3点です。

1．3Dセキュアはオンラインカード決済の本人認証

カード番号だけではなく、カード会員本人であることを確認するための仕組みです。

2．3Dセキュア2.0ではリスクベース認証が重要

取引履歴やデバイス情報などを利用してリスクを評価します。

3．「低リスク＝認証なし」ではない

ここは特に注意が必要です。

正確には、

低リスクなどの場合 → 利用者による追加認証操作なし

です。

一方、

追加確認が必要な場合 → Challenge Flowによる追加の本人認証

となります。

試験対策としては、次のように覚えると分かりやすいです。

3Dセキュア2.0
      ↓
リスクベース認証
      ↓
取引履歴・デバイス情報などを確認
      ↓
低リスク → 追加操作なし
高リスクなど → 追加認証

まとめ

今回は、3Dセキュア2.0（EMV 3-Dセキュア）について確認しました。

3Dセキュア2.0では、取引履歴やデバイス情報などを利用して取引のリスクを評価します。

試験では、

「3Dセキュア2.0 → リスクベース認証」

という関係を押さえておきましょう。

参考情報

IPA 独立法人情報処理推進機構応用情報技術者試験過去問 https://www.ipa.go.jp/shiken/mondai-kaiotu/index.html