多要素認証とは

たようそにんしょう

知識(パスワードなど)、所持(スマートフォンやICカードなど)、生体(指紋や顔など)のうち、異なる2つ以上の要素を組み合わせて本人を確かめる認証。パスワードが漏れても、ほかの要素がなければログインできない。MFAとも呼ぶ。

「多要素認証」は、1分野の6問の練習問題に出てきます(情報セキュリティの基礎など)。

認証の3つの要素

認証の要素は、本人だけが知っているもの(知識。パスワード、PIN、秘密の質問など)、本人だけが持っているもの(所持。スマートフォン、ICカード、専用の認証用の機器など)、本人の身体や行動の特徴(生体。指紋、顔、静脈、声など)に分けられます。多要素認証では、異なる種類の要素を組み合わせるので、1つの要素が盗まれても、攻撃者はほかの要素も手に入れない限りログインできません。

多要素認証にならない例

パスワードと秘密の質問の組み合わせは、2回確かめていても、どちらも知識の要素なので多要素認証ではありません(二段階認証と呼ばれることはあります)。同じ種類の要素は、同じ方法、例えばフィッシングでまとめて盗まれるおそれがあるためです。反対に、スマートフォンの指紋認証で端末の中の鍵を使えるようにする方式は、端末の所持と生体を組み合わせた多要素認証になります。

方式による強さの違い

SMSで送られる確認コードや、アプリが表示するワンタイムパスワードは、パスワードだけの認証よりはるかに安全ですが、偽のサイトにその場で入力させて使う攻撃(リアルタイムのフィッシング)は防ぎきれません。FIDO2のパスキーのように、端末の中の秘密鍵で、接続先のサイトに結び付いた署名を作る方式は、偽のサイトでは認証が成り立たないため、フィッシングに強いとされ、2020年代半ばの時点で利用が広がっています。

多要素認証の練習問題に挑戦

次の認証の方法のうち、多要素認証に当たるものはどれか。

Aパスワードを入力した後に、本人のスマートフォンのアプリに表示されたワンタイムパスワードを入力する
Bパスワードを入力した後に、さらに秘密の質問の答えを入力する
C長さが2倍の、より複雑なパスワードを入力する

答えと解説を見る

正解：A. パスワードを入力した後に、本人のスマートフォンのアプリに表示されたワンタイムパスワードを入力する

多要素認証は、知識・所持・生体のうち、異なる2つ以上の要素を組み合わせる認証です。パスワード(知識)と、本人のスマートフォンで作られるワンタイムパスワード(所持)の組み合わせは、異なる2つの要素を使うので多要素認証です。パスワードが漏れても、攻撃者は本人のスマートフォンを持っていなければログインできません。パスワードと秘密の質問は、どちらも知識の要素なので、2段階で確かめていても多要素認証ではありません(二段階認証と呼ばれることはあります)。同じ種類の要素を重ねても、同じ方法(例えば、フィッシングでだまして聞き出す)でまとめて盗まれるおそれがあります。なお、ワンタイムパスワードも、偽のサイトにその場で入力させて使われる攻撃があるため、2020年代半ばの時点で、偽のサイトでは認証が成り立たない方式(FIDO2のパスキーなど)の利用が広がっています。

よくある質問

二段階認証と多要素認証の違いは何ですか?

二段階認証は、確かめる段階が2つあることを表し、要素の種類は問いません。多要素認証は、知識・所持・生体のうち異なる種類の要素を組み合わせることを表します。パスワードの後にSMSのコードを入力する方式は、両方に当たります。

多要素認証を設定すれば、パスワードは簡単でもよいですか?

よくありません。多要素認証は、1つの要素が破られても守るための仕組みで、各要素が強いほど安全です。パスワードは長く推測されにくいものにし、ほかのサービスと使い回さないことが大切です。

解説の中の「多要素認証」

多要素認証は、知識・所持・生体のうち、異なる2つ以上の要素を組み合わせる認証です。
次の認証の方法のうち、多要素認証に当たるものはどれか。
辞書に載っている単語や使い回しのパスワードは、総当たりよりはるかに早く見つかるので、長くてランダムなパスワードを使い、サービスの側では遅いハッシュ方式や、ログインの試行回数の制限、多要素認証を組み合わせることが大切です。
8文字のパスワードを、すべての候補を試す総当たりで探す。1秒あたり1×10^10個の候補を試せるとき、英小文字(26種…
所持による認証は、カードをなくしたり盗まれたりすると他人に使われるおそれがあるため、PINなどの知識と組み合わせて使うことが多く、これは多要素認証になります。
利用者を確かめる認証の3つの要素(知識・所持・生体)のうち、社員証のICカードを使う認証が当てはまるものはどれか。
ただし、IdPのアカウントが乗っ取られると連携するすべてのサービスに入られてしまうため、IdPでの多要素認証が特に重要です。
シングルサインオン(SSO)の説明として正しいものはどれか。
対策の中心は、侵入の入り口になる脆弱性への修正の適用、リモートアクセスの多要素認証、権限の最小化、そして、ネットワークから切り離した場所に保管するバックアップです。
ランサムウェアの説明として正しいものはどれか。

「多要素認証」が出てくる問題(6問)

情報セキュリティの基礎の参考書を探す PR

Amazonで「半導体情報セキュリティの基礎」を探す

Amazonの検索結果へのリンクです。Amazonのアソシエイトとして、半導体教室は適格販売により収入を得ています。

半導体・電子回路・情報の計算ツール

パスワードの総当たり時間の計算ツール文字の種類と長さから組み合わせの数とエントロピーを求め、総当たりにかかる時間を試算