IT用語
本人であることを証明するための情報。IDとパスワード、APIキー、アクセストークン、秘密鍵など。
- 別名・略称
- クレデンシャル
認証情報（クレデンシャル）は、システムやサービスに対して本人であることを証明するための情報の総称です。人がログインに使う ID とパスワードだけでなく、プログラムが使う APIキー や アクセストークン、SSH の 秘密鍵 なども含まれます。
主な例
- ID とパスワード
- APIキー・アクセストークン・クラウドのアクセスキー
- SSH や証明書の秘密鍵
- セッションの Cookie
漏えいしたときの影響
認証情報を盗まれると、攻撃者は本人になりすましてシステムにアクセスできます。脆弱性 を突く必要がないため気付きにくく、ランサムウェア などの被害のきっかけとして多く報告されています。
主な漏えいの経路
- フィッシング や情報窃取型の マルウェア
- ほかのサービスから漏えいしたパスワードの使い回し（クレデンシャルスタッフィング）
- ソースコードや設定ファイル、ログへの書き込み
守るために
- 多要素認証 を設定し、パスワードだけでログインできないようにする
- プログラムが使う認証情報は シークレット の管理機能に保存し、コードに書かない
- 権限を必要最小限にし、定期的に作り直す（ローテーション）
