セキュリティ質問 (セキュリティシツモン) とは | 意味や読み方など丁寧でわかりやすい用語解説

セキュリティ質問 (セキュリティシツモン) の読み方

日本語表記

秘密の質問 (ヒミツノシツモン)

英語表記

Security question (セキュリティクエスチョン)

セキュリティ質問 (セキュリティシツモン) の意味や用語解説

セキュリティ質問とは、ウェブサービスやオンラインシステムにおいて、ユーザーが本人であることを確認したり、パスワードを忘れた際にアカウントを回復したりするための認証手段の一つである。事前にユーザーが登録した特定の質問（例えば「母親の旧姓は？」「初めて飼ったペットの名前は？」など）に対する回答を利用し、その回答が正しく入力された場合に限り、本人として認証を許可する仕組みを指す。これは、パスワードとは異なる情報に基づいて本人確認を行うことで、セキュリティを強化しつつ、ユーザーの利便性を損なわないことを目的として導入されている。 詳細に説明すると、セキュリティ質問の主な機能は、パスワードを失念した場合のリカバリプロセスである。ユーザーがアカウント作成時やプロフィール設定時に、システムが提示する複数の質問の中から任意のものを選び、それに対する回答を登録する。この登録された質問と回答のペアは、システム内部で安全に保存される。通常、回答は平文ではなく、ハッシュ化と呼ばれる一方向の暗号化処理を施され、さらにソルトと呼ばれるランダムなデータが加えられて保存されることが多い。これにより、万が一データベースが漏洩しても、回答がそのまま第三者に知られるリスクを低減する。パスワード再設定時など、本人確認が必要な状況でユーザーがセキュリティ質問に回答すると、システムはその回答をハッシュ化し、保存されているハッシュ値と比較する。両者が一致した場合にのみ、本人と判断され、パスワードの変更やアカウントへのアクセスが許可される。これは、ユーザーがパスワードを覚えていなくても、あらかじめ設定した秘密の情報を覚えていれば、自力でアカウントの問題を解決できるという大きな利便性を提供する。 しかし、セキュリティ質問にはいくつかの潜在的なリスクとデメリットも存在する。最も大きな問題は、回答が他人に推測されやすい、あるいは公開情報から容易に取得され得るという点である。「母親の旧姓」「出身地」「誕生日」といった情報は、SNSでの投稿や公共の記録、あるいはソーシャルエンジニアリング（人をだまして情報を聞き出す手口）によって、悪意のある第三者が比較的容易に知り得る可能性がある。また、ユーザー自身が設定した回答を忘れてしまうという問題も発生する。特に複数のサービスで異なる質問と回答を設定した場合や、長期間利用していなかったサービスの場合にこの傾向が顕著になる。さらに、フィッシング詐欺のような偽のウェブサイトを通じて、セキュリティ質問と回答の両方をまとめてだまし取られる危険性も無視できない。一つのサービスで設定したセキュリティ質問と回答が漏洩すると、それを他のサービスでも使い回している場合、芋づる式に多くのアカウントが危険にさらされる可能性も考えられる。 これらのリスクを軽減し、セキュリティ質問をより効果的に活用するためには、ユーザー側とシステム開発側の双方で適切な対策を講じる必要がある。ユーザーは、質問の選択と回答の設定において慎重になるべきである。具体的には、家族構成や趣味など、インターネット上で公開している情報や、友人・知人が容易に知り得る情報を避けるべきだ。「フェイクアンサー」と呼ばれる手法、つまり質問の内容とは無関係な、しかし自身が確実に記憶できるランダムな文字列やフレーズを意図的に回答として設定する方法も有効である。例えば「初めて飼ったペットの名前は？」という質問に対し、「富士山登頂2023春」のようなパスワードに近い情報を回答にする、といった使い方である。さらに、セキュリティ質問だけに頼らず、二段階認証や多要素認証（パスワードに加えて、スマートフォンへのSMS認証コードや専用アプリのワンタイムパスワードなどを組み合わせる認証方法）を積極的に利用することが極めて重要である。 システム開発側としては、セキュリティ質問の実装において以下の点を考慮すべきだ。まず、ユーザーが選択できる質問肢のバリエーションを豊富に用意し、推測されやすい質問（例: 誕生日、出身地）の使用を避けるよう促す。より安全な運用のためには、ユーザー自身が自由に質問内容を記述できる「カスタム質問」機能を提供することも一案である。次に、回答の保存方法には最大限の注意を払い、前述のハッシュ化に加え、ソルトの使用やストレッチング（ハッシュ処理を複数回繰り返すことで計算コストを増やし、ブルートフォースアタックへの耐性を高める手法）を適用するなど、安全性を高める工夫が不可欠である。また、セキュリティ質問への回答試行回数に制限を設け、一定回数以上失敗した場合にはアカウントを一時的にロックする、といったブルートフォースアタック（総当たり攻撃）対策を講じる必要がある。パスワードリセットのフロー全体においても、セキュリティ質問はあくまで最終手段の一つとして位置づけ、メールやSMSを利用した認証など、他のより安全性が高く、かつユーザーがアクセスしやすい認証方法を優先的に提供するべきである。さらに、ユーザーがセキュリティ質問と回答をいつでも変更・更新できる機能を提供し、古くなった情報や漏洩のリスクがある情報をユーザー自身が管理できるよう配慮することも重要である。 このように、セキュリティ質問はユーザーの利便性とアカウントリカバリの有効な手段として機能するが、その設計と運用には多くの注意が必要である。システムエンジニアを目指す者としては、その利点だけでなく、潜在的なリスクとそれに対する具体的な対策を深く理解し、より堅牢でユーザーフレンドリーな認証システムを設計・構築する視点を持つことが求められる。