秘密の質問（ひみつのしつもん）またはセキュリティ質問（セキュリティしつもん、）は、認証者によって用いられる共有秘密鍵の一形式である。 「あなたのペットの名前は？」「あなたの母親の旧姓は？」「初めて見た映画のタイトルは？」などの質問が秘密の質問として挙げられる。NIST（アメリカ国立標準技術研究所） のガイドライン（SP 800-63B）において、非推奨の方式となっている手法である。
用法 秘密の質問は主に以下の二場面で用いられることがある。
顧客がパスワードを忘れてしまい、再発行やリセットを求める際の本人確認として→セルフサービス・パスワード・リセット 普段とは異なる環境（使用しているコンピュータ、IPアドレスなど）からログインが試行された際の本人確認として→リスクベース認証 対人式の顧客相談窓口は正確では秘密の質問の答えに対して柔軟に対処し得るが、コンピューターはそれほど臨機応変には対応してくれない。そのため、顧客は質問の答えの正確なつづり（例えば、ピザとピッツァ）を覚えておく必要がある。
あらゆる人が用意された質問に答えられるわけではない（例えば、映画を見たことのない人は「初めて見た映画のタイトルは？」という質問に答えられない）ことに留意する必要もある。RSAセキュリティでは、銀行向けサービスとして、150もの質問の中から選べるようにしているし、質問自体を顧客が入力できるようにしているウェブサイトも存在する。
沿革 遅くとも20世紀初頭から、金融機関は秘密の質問を利用した顧客の認証を行ってきた。1906年に開かれたアメリカ銀行協会の会合で、メリーランド州ボルチモアの銀行家ウィリアム・M・ヘイデンは、自行では顧客による署名を補うものとして秘密の質問を利用している、と説明している。ヘイデンは、新しい銀行口座を開設する際に発行される自行の銀行カードには、顧客の出生地、居住地、母親の旧姓、職業、年齢を書きこむ欄を設けていることを説明した。
ヘイデンは、これらの欄のいくつかは空白のままであることが多くなってしまっているものの、母親の旧姓は「個人を特定する強力な試み」として有用であることを指摘した。彼は、顧客やその家族以外の者によって顧客の銀行口座から金が引き出されることはほとんどないことを確認し、母親の旧姓は家族の外ではほとんど知られていないばかりか、口座を開設しようとする人ですらも「この質問の答えが準備できていない」ため、認証に有用だと話したWilliam M. Hayden (1906), Systems in Savings Banks, The Banking Law Journal, volume 23, page 909.。今日の慣行では、クレジットカード会社は、紛失したカードの代わりを発行する前に、顧客の母親の旧姓を確認することがある。
2000年代からは、秘密の質問はインターネット上で広く用いられるようになった。顧客自身の操作によってパスワードをリセットさせる際に、秘密の質問を使うことで顧客相談窓口のコストが削減された。
一方、セキュリティ上の問題が指摘されており、後に非推奨の方法となっている。
セキュリティ上の問題 秘密の質問は、かつてパスワード再設定などの本人確認手段として広く使われていたが、現在では国内外の主要機関やセキュリティ専門家から「安全性が低く、導入・利用すべきではない」と強く非推奨とされているRobert Lemnos, Are Your "Secret Questions" Too Easily Answered?, MIT Technology Review, May 18, 2009 (retrieved 21 May 2015)Victor Luckerson, Stop Using This Painfully Obvious Answer For Your Security Questions, Time Magazine, 21 May 2015 (retrieved 21 May 2015) Elie Bursztein, New Research: Some Tough Questions for ‘Security Questions’, 24th International World Wide Web Conference (WWW 2015), Florence, Italy, May 18 - 22, 2015; Google Online Security Blog, 21 May 2015 (retrieved 21 May 2015)。
回答が推測されやすい SNSの普及に伴い、旧来式の秘密の質問の多くはもはや有用でも安全でもない。セキュリティ保護用の秘密の質問は実質的にパスワードと同等であることに注意しなければならない。つまり、SNSで秘密の質問の答えとなる情報を共有してはいけないし、そうした情報をSNSに登録するのもいけない。しかし、実際には誕生日情報やペットの名前情報をXなどに投稿してしまう人は少なくない。
一部の質問は答えが偏っているために、少ない試行回数で質問の答えが言い当てられてしまうことがある。例えば、英語圏の顧客であれば、「好きな食べ物」としてピザを設定することが多く、不正アクセスしようとする者が対象者の好きな食べ物を知らずとも「ピザ」と入力すれば19.7％の確率でこれを突破できてしまう。
似たような脆弱性を持つ質問は他の言語圏にも存在し、韓国語圏（大韓民国）の顧客は「生まれた都市は？」という質問に対し、10回答えを入力することで39％の確率でセキュリティを突破されてしまう。
日本語圏の場合は、確率自体は例示されていないものの、情報処理推進機構が「あなたの母親の旧姓は？」という質問に対して、「佐藤」や「鈴木」などのありふれた姓が入力され突破される可能性を挙げている。
キーロガーに対する脆弱性 オンラインで文字を入力させる構造上、キーボードの入力履歴を盗み取るキーロガー攻撃に対して無防備である。
セキュリティ対策 秘密の質問に対する最も堅牢なセキュリティ対策は、「秘密の質問を使わない」ことである。また、秘密の質問の答えをパスワードとみなして、質問内容にかかわらず「DltkrEeIecilBc」などのランダムな文字列を入力し、それをパスワードマネージャーに記録させておくという方法も取れる。
主要機関の判断
NIST（アメリカ国立標準技術研究所） - ガイドライン（SP 800-63B）において、秘密の質問（知識ベース認証）の利用を「使用禁止（SHALL NOT）」と規定している。パスワードリセット手段としての提供も認めていない。
Google - 大規模な分析調査に基づき、「好きな食べ物は？」などの質問に対して攻撃者がわずか1回の試行で回答を当てられた割合が約20%に上ったことを公表した。同社は秘密の質問を「単独での本人確認手段としては不適格」とし、廃止を進めている。 IPA（情報処理推進機構） - 秘密の質問はリスクが高いとし、他のパスワードリセット手段が用意されている場合は、ワンタイムパスワードなどの秘密の質問以外の手段を選択・利用すべきであると明示的に指摘している。 トレンドマイクロ社 - 秘密の質問はリスクが高いとし、他のパスワードリセット手段が用意されている場合は、秘密の質問以外の手段を選択・利用すべきであると明示的に指摘している。
専門家の判断
セキュリティの専門家であるブルース・シュナイアーは、秘密の質問の答えが個人に関するおおっぴらな事実であるため、パスワードよりもクラッカーが推測しやすいと指摘している。
セキュリティの専門家であるEGセキュアソリューションズの徳丸浩は、「母親の旧姓やペットの名前は自分しか知り得ない情報ではない」「秘密の質問がパスワード再設定のような大きな権限を持つのは問題が多い」と指摘している。 ITmediaの記事で吉村哲樹は、より安全で確実に本人確認できる手段として2要素認証があるにもかかわらず、いまだに秘密の質問を利用しているサイトはセキュリティレベルを疑うべきだと主張している。
関連項目 特殊詐欺 - （防犯対策として「ペットの名前」を聞いてみるというものがある） パスワード疲れ PPAP - メールにパスワード付きZIPファイルを送り、後からパスワードを別送する手法。セキュリティ上の脆弱性を誘発する形骸化した対策手法とされている。
出典