多要素認証とは

この記事は約 2 分で読めます

多要素認証 (MFA: Multi-Factor Authentication) とは、認証時に 2 つ以上の異なる要素を組み合わせて本人確認を行う方式です。知識要素 (パスワード)、所持要素 (スマートフォン、セキュリティキー)、生体要素 (指紋、顔) の 3 つのカテゴリから複数を組み合わせることで、セキュリティを大幅に強化します。 Microsoft は 2019 年の記事で、 MFA によってアカウント侵害攻撃の 99.9% 以上を阻止できると述べています。同社の研究者らが 2023 年に公開した実測研究では、侵害リスクの低減幅は調査対象全体で 99.22% 、認証情報が既に漏洩していたケースでは 98.56% と報告されています。 Google や Apple も自社サービスで MFA のデフォルト有効化を進めています。

現場での使用例

組織で MFA を義務化するとき、全アカウントを一斉に切り替えるより、被害が大きい順に手当てするのが現実的です。例えば、まず管理者アカウントだけを対象に FIDO2 セキュリティキーを配り、次に一般の従業員へアプリの承認通知を広げる、という順序です。管理者を先にするのは、乗っ取られたときに他人のアカウントの設定まで変えられてしまうためです。要素の選び方も強度が同じではなく、SMS のワンタイムコードは電話番号の乗っ取りで迂回され得るのに対し、セキュリティキーは偽サイトに入力させる手口が通りません。個人でも同じ考え方が使えて、メールとパスワード管理ツールという「他の再設定の入口になるアカウント」から順に MFA を付けていくのが効きます。

認証要素の比較

認証の 3 要素と実務での選択

知識要素はパスワードや PIN など「知っていること」、所持要素はスマートフォンやハードウェアトークンなど「持っていること」、生体要素は指紋や顔など「本人であること」を証明します。実務では、 SMS 認証は SIM スワッピング攻撃に脆弱なため、 TOTP アプリ (Google Authenticator 、 Authy) や FIDO2 セキュリティキー (YubiKey) の方が推奨されます。特に金融機関や管理者アカウントでは、TOTP やハードウェアキーを選択すべきです。

二段階認証 (2FA) との違い

二段階認証 (2FA) は「 2 つのステップで認証する」ことを指し、 MFA は「 2 つ以上の異なる要素で認証する」ことを指します。たとえば、パスワード入力後に秘密の質問を求める方式は 2 ステップですが、どちらも知識要素のため MFA とは呼べません。パスワード + TOTP コードの組み合わせは、知識要素 + 所持要素なので二段階認証であり同時に MFA でもあります。セキュリティの観点では、ステップ数よりも異なるカテゴリの要素を組み合わせることが重要です。

MFA の導入と運用のポイント

十分な長さのランダムなパスワード (知識要素) に、 TOTP アプリやセキュリティキー (所持要素) を組み合わせることで、堅牢な多要素認証が実現します。導入時の注意点として、リカバリーコードの安全な保管が不可欠です。デバイスの紛失や故障に備え、バックアップ用の認証手段を必ず設定しましょう。企業環境では、パスワードポリシーと合わせて MFA を全社的に義務化し、二段階認証の設定ガイドを社員に周知することが効果的です。