「電話番号って『物』じゃないの？」「IPアドレスも直感的には『物』って思う人が多いかもね」---。最近，編集部で交わされた会話である。何のことかわかるだろうか？ 答えは「認証の手段」だ。

　筆者は，日経NETWORK10月号（9月28日発行）で「知らない間に使っている 最新＆定番の認証技術」と題し，システムの裏方で動作する認証技術にフォーカスした特集記事を執筆した。その基本知識として，認証の手段を解説している。その手段とは，「人で認証する」「物で認証する」「場所で認証する」の三つだ。冒頭で紹介したのは，その具体例を挙げている時の会話である。

　それぞれの認証手段を簡単に解説しておこう。「人で認証する」は，その人の指紋などを使った生体認証のほか，記憶を使ったパスワード認証が含まれる。パソコンへのログオンなどがこれに当たる。

　「物で認証する」は，人に何か物を所持させて，その物で認証を行うパターン。パスワード・トークンを使った認証や，パソコンのMACアドレスを使った認証だ。

　最後の「場所で認証する」は，電話番号やIPアドレスを使った認証を指す。携帯電話の電話番号だとピンとこないが，固定電話の市外局番であればすぐに理解できるはずだ。例えば東京23区であれば「03」など，場所ごとに割り振られた番号（ID）を使っており，これを認証手段に使うのである。

　この「場所で認証する」に，IPアドレスを使った認証が含まれているというのが意外なので，「IPアドレスも直感的には『物』って思う人が多いかもね」という発言になったというわけだ。

「IPアドレス＝場所」ってどういうこと？

　わかっている人からすれば，IPアドレスは位置情報を含んだものとすぐに気付くかもしれない。だが，MACアドレスと同じで，なんとなく「物」に付いて回るもののように思っていないだろうか？

　グローバルIPアドレスは，プロバイダがユーザーに払い出すもの。その際にプロバイダは，「このIPアドレスは○○県のユーザーに割り当てる」といった規則性を持って払い出している。つまり，IPアドレスを使った「場所で認証する」は，この規則性を使っているのだ。IPアドレスから場所を割り出すしくみはIPジオロケーションといって，主にマーケティング分野で利用されている。

　IPジオロケーションを使えば，怪しいアクセス元を割り出すこともできる。例えば，あるユーザーがあるサーバーに対して日本からアクセスしてきたのに，その数分後には同じIDとパスワードを使って中国からアクセスしてきたら，「そのアクセス元は怪しい」と判断できる。そのアクセス元に対し，サーバーにアクセスさせないようにできるのだ。ちなみに，IPジオロケーションとパスワードなど，複数の認証手段を使ってアクセス元のリスクを判定する認証方式を「リスクベース認証」という。

「MACアドレス」改め「MACナンバー」？

　よく考えてみると，IPアドレスはそもそも「アドレス（＝住所）」なのだから，場所を表すとしてもおかしくない。むしろ，MACアドレスを「アドレス」とするほうが問題かもしれない。だって，単なる番号であって，住所などの物理的な場所を表しているわけではないから。

　MACアドレスは「アドレス」ではなく，「ナンバー」といい換えたほうがいいのかもしれない。「MACナンバー」ではどうだろう？

　と，ここまで書いたところで，そう単純に割り切れない部分もありそうだと気付いた。MACアドレスが物理的な場所を表している認証技術もあるからだ。

　NTT東西地域会社のNGNでは，設置した機器のMACアドレスを基にした「回線認証」というしくみを使っている。回線認証では，ホーム・ゲートウエイのMACアドレスを基に「発信者ID」というIDを作成する。

　一方，回線にも「回線認証ID」と呼ばれるIDが付いている。NGNの制御サーバーは契約者のデータベースを持っており，一意の発信者IDには必ず決まった回線認証IDが対になっていることを確認してからNGNにつながせるようにしている。これが回線認証だ。

　回線認証の場合，MACアドレスをベースにした発信者IDは，契約者の住所とリンクする情報だ。つまり，MACアドレスは場所の情報でもある。NGNにつなぐのが決まった機器であるために，そうなるのだ。

　だとすると，「MACアドレス＝物で認証」という認識だけでは済まされないところが出てくる。やはり，MACアドレスも「アドレス」でいいじゃないか，という結論に落ち着くのだろうか。

　筆者としては，アドレス（＝場所）を理解するどころか，迷子になった気持ちである。読者の皆さんは，どう感じられただろうか。