認証情報

利用者やシステムの本人確認（認証）に使う情報。パスワード、PIN、暗号鍵、ICカードやトークンに格納された秘密情報などが該当する。JIS Q 27002では、割当て、変更、失効の手順を決めて管理し、利用者には秘密に保つよう求めている。

利用者や機器が本人（本物）であることを示すために認証で使う情報。パスワード、PIN、暗号鍵、証明書、トークンなどが当たる。漏えいするとなりすましに直結するため、パスワードはソルトを付けたハッシュ値で保管し、初期パスワードの変更、使い回しの禁止、多要素認証の併用などで保護する。

利用者やシステムが本人であることを確認するために使う秘密の情報。パスワード、PIN、暗号鍵、ICカードやトークンに記録された情報などが該当し、割当て時の安全な配布、初期パスワードの変更、利用者による秘密の保持、漏えい時の速やかな変更などのルールで管理する。

情報を、機密性・完全性・可用性の観点での重要度や利害関係者の要求に基づいて、「極秘」「社外秘」「公開」などの区分に分けること。区分ごとに取扱いのルールを定め、重要度に見合った保護を行う。

システムを利用しようとしている人や機器が、本人（本物）であることを確かめること。利用者IDとパスワードのような記憶しているもの（知識）、ICカードやスマートフォンのような持っているもの（所持）、指紋や顔のような身体の特徴（生体）を使い、異なる種類を2つ以上組み合わせる多要素認証にすると安全性が高まる。

パスワードを入力する手元や、画面に表示された情報を、背後や横からのぞき見て盗み取ること。ショルダーハッキングとも呼ばれる人的脅威の一つで、のぞき見防止フィルタの利用、入力時に周囲を確認することなどで防ぐ。

盗み出したパスワードのハッシュ値を、平文に戻さずにそのまま認証に使ってログインする攻撃。WindowsのNTLM認証のように、ハッシュ値だけで認証が成り立つ仕組みを悪用し、侵入した端末から他の端末へ侵害を広げるラテラルムーブメントで多用される。平文のパスワードを解読する必要がないため、パスワードを複雑にしても防げない。

パスワードを推測したり盗んだハッシュ値から割り出したりする攻撃への対策。ログインの試行の回数の制限やアカウントのロック、他のサービスで漏えいしたパスワードの利用の禁止、多要素認証の導入に加え、保存するときはソルトを付けて計算に時間のかかるハッシュ関数で変換し、割出しを困難にする。