「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として「認証」について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

認証は「おまえ誰？OKなやつ？」を確認する作業です。



例えば

・本人しか知らない情報を入力させる
・本人しか持っていないものを提示させる
・接続元の情報を見る

のような過程を経て、OKな人かNGな人かを判定します。



※厳密には「認証＋認可」の説明になっていますが気にしないことにします。そこら辺が気になる方は、用語「認可」の説明を ご覧ください。

以上を踏まえて

もし認証がOKだったとしても、その他の部分を見て「あっ、こいつは胡散くさいな。偽者かもしれないな」と感じたら、さらに別のやり方で確認する認証のやり方

が「リスクベース認証」です。



例えば、そうですね。

ここにピヨ太君とピヨ太君のパソコンさんが いました。



ピヨ太君は他の人にパソコンを使われたく ありません。
そこで、パスワードを設定して、パスワードを知っている人しか使えないように しました。



もちろん、ピヨ太君はパスワードを誰にも教えません。
ピヨ太君のパソコンはピヨ太君しか使えないはずです。



さて、ある日のことです。

ピヨ太君は「全国の美味しい物を食べつくそう食い倒れツアー」に出かけました。
1週間かけて日本全国を回り、その土地の美味しい物を食べまくるツアーです。



それから3日後、ピヨ太君らしき人物が帰ってきました。



ピヨ太君らしき人物はパスワードを入れてパソコンさんを使おうとしました。



あれれ～おかしいぞ～。
確かに入力したパスワードは合っていますけどね。
ピヨ太君は1週間の食い倒れツアーに出かけたはずです。
3日で帰ってくるのは、ちょっと不自然です。



そこでパソコンさんは、追加で質問をしました。
別のやり方で もう1回 認証をしたのです。



おっと、今度は答えられませんでした。



パソコンさんは「こいつはピヨ太の偽者だな」と判断し、以降は、そいつの言うことを無視しました。



パソコンさん、ファインプレーです。
ピヨ太君らしき人物は変装したアクマ君でした。



このような

「たとえ認証がOKだったとしても、胡散くさいと感じたら追加で確認する」認証のやり方

がリスクベース認証です。
使う人の状況や行動を見て、コンピュータさんが「普段と違うな」や「あれ？なんか、おかしいな」と感じたら、追加で確認をします。

ちなみに、何をもって胡散くさいと判断するかですが、いろいろな やり方があります。
分かりやすいところでは「接続元の情報」でしょうか。
例えば日本にいるはずの人がアメリカから接続してきたら「あれ？こいつは本物かな？」と思いますよね。
そんな感じです。