情報セキュリティの基礎
次の認証の方法のうち、多要素認証に当たるものはどれか。
- Aパスワードを入力した後に、本人のスマートフォンのアプリに表示されたワンタイムパスワードを入力する
- Bパスワードを入力した後に、さらに秘密の質問の答えを入力する
- C長さが2倍の、より複雑なパスワードを入力する
答えと解説を見る
正解：A. パスワードを入力した後に、本人のスマートフォンのアプリに表示されたワンタイムパスワードを入力する
多要素認証は、知識・所持・生体のうち、異なる2つ以上の要素を組み合わせる認証です。パスワード(知識)と、本人のスマートフォンで作られるワンタイムパスワード(所持)の組み合わせは、異なる2つの要素を使うので多要素認証です。パスワードが漏れても、攻撃者は本人のスマートフォンを持っていなければログインできません。パスワードと秘密の質問は、どちらも知識の要素なので、2段階で確かめていても多要素認証ではありません(二段階認証と呼ばれることはあります)。同じ種類の要素を重ねても、同じ方法(例えば、フィッシングでだまして聞き出す)でまとめて盗まれるおそれがあります。なお、ワンタイムパスワードも、偽のサイトにその場で入力させて使われる攻撃があるため、2020年代半ばの時点で、偽のサイトでは認証が成り立たない方式(FIDO2のパスキーなど)の利用が広がっています。
- A. 正しい。知識(パスワード)と所持(スマートフォン)の異なる2つの要素を組み合わせています。
- B. パスワードも秘密の質問も知識の要素です。要素が1種類なので多要素認証ではありません。
- C. パスワードを長くしても、知識の要素1つだけの認証であることは変わりません。