多要素認証

背景・歴史

パスワードだけによる認証は、長い間、本人確認の主要な手段として使われてきましたが、パスワードの使い回しや、簡単すぎるパスワードの利用、フィッシングによる詐取など、様々な理由でパスワードが漏れてしまうリスクが常につきまといます。1つの要素だけに頼る認証の弱点を補うために、「知っていること（パスワード）」「持っているもの（スマートフォンやICカード）」「本人自身の特徴（指紋や顔）」という、性質の異なる複数の要素を組み合わせて認証する「多要素認証」の考え方が、特にインターネットバンキングやクラウドサービスの普及とともに重要視されるようになりました。

なぜこの考え方が使われるようになったのか

認証の要素を1つだけに頼っていると、その要素が漏れたり盗まれたりした時点で、なりすましを許してしまいます。しかし、性質の異なる複数の要素を組み合わせておけば、たとえ1つの要素（例えばパスワード）が漏れてしまっても、攻撃者は他の要素（例えばスマートフォンの所持）まで同時に手に入れなければ、本人になりすますことができません。この「複数の壁を用意することで、突破されにくくする」という考え方が、多要素認証が重視される理由です。

もう少し詳しく見てみる

認証の要素は、主に次の3種類に分類されます。

• 知識要素：パスワードや暗証番号など、本人だけが知っている情報。
• 所持要素：スマートフォン、ICカード、セキュリティキーなど、本人だけが持っているもの。
• 生体要素：指紋や顔などの生体認証に使われる、本人の身体的特徴。

これらのうち2種類以上を組み合わせる認証を「二要素認証」、3種類すべてを組み合わせるなど、より多くの要素を使う認証を広く「多要素認証」と呼びます。よく混同される「二段階認証」は、要素の種類ではなく、認証の手続きが2回に分かれていることを指す言葉であり、必ずしも異なる種類の要素を組み合わせているとは限らない点に注意が必要です。一般的に、安全性は多要素認証＞二要素認証＞二段階認証の順で高いとされています。

関連して知っておきたいこと

多要素認証は、情報セキュリティの3要素のうち「機密性」を高いレベルで確保するための実践的な手段です。パスワードという知識要素と、生体認証という生体要素を組み合わせることで、それぞれの弱点を補い合う、より安全な仕組みを作ることができます。