リスクベース認証

調べ物をしていて見つけた。「みずほダイレクト」のセキュリティ強化に採用されたリスクベース認証についてのメモ。

認証にはアクティブ認証とパッシブ認証の２種類がある。

アクティブ認証とは、ユーザに対して本人認証のための情報を求める方法である。

一方、パッシブ認証とは、ユーザの正常時の行動パターン（IPアドレス、ISP、ブラウザの種類、利用機能など）を解析しておき、その行動パターンの範囲内であれば、なりすましの可能性は低いと判断し、過剰な認証を行わない方法である。逆に、行動パターンが異常であると判断される場合は、追加の認証を行う。