認証要素

認証とは、自分が主張している人物であることを証明することです。

強力な認証では、異なる種類の要素を組み合わせます。それぞれが異なる種類の証明になります。

認証要素は、次の3つのカテゴリーに分類されます。

• 知っているもの（パスワードやPIN）
• 持っているもの（スマートフォンやセキュリティキー）
• 本人そのもの（指紋や顔）

知識要素とは、記憶している秘密情報です。パスワード、PIN、セキュリティ質問などが該当します。

安価でなじみやすい一方、フィッシングや推測の被害に遭いやすく、複数のサイトで使い回されがちです。

所持要素とは、物理的に所持しているものです。

• コードやプッシュ通知を受信するスマートフォン
• ハードウェアセキュリティキー
• スマートカード

攻撃者は、それを使うために端末を盗む必要があります。

生体要素とは、生体情報を使う要素です。指紋、顔、虹彩、音声などが該当します。

便利で忘れることはありませんが、漏えいしても変更できないため、複数ある要素のうちの1つとして使うのが最適です。

多要素認証（MFA）では、異なるカテゴリーの要素が必要です。

パスワードとPINの組み合わせは、どちらも知識要素なのでMFAではありません。パスワードとスマートフォンに届くコードの組み合わせはMFAです。

パスワードだけでは最も弱い部分になります。使い回されたり、フィッシングされたり、情報漏えいで流出したりするためです。

2つ目の要素を追加すれば、パスワードを盗まれても、それだけではログインできなくなります。

二要素認証（2FA）は、要素をちょうど2つ使うMFAです。

MFAはより広い用語で、2つ以上の要素を要求できます。実際には、ほとんどの消費者向けシステムが2FAを使用しています。

一般的な2つ目の要素を、弱いものから強いものの順に示します。

• SMSコード（SIMスワッピングに対して脆弱）
• 認証アプリのコード（TOTP）
• プッシュ承認
• ハードウェアセキュリティキー（最も強力）

最新のシステムでは、アダプティブ認証（リスクベース認証）が使われます。ログインが危険に見える場合にだけ、追加の要素を要求します。

新しい端末、通常とは異なる場所、物理的に不可能な移動などがシグナルになります。

一部のシステムでは、場所（自分がいる場所）や行動（入力のリズム）を追加のシグナルとして扱います。

通常、これらは単独の要素ではなくリスク判定への入力ですが、全体的な判断の精度を高めます。

次の組み合わせのうち、真の多要素認証に該当するのはどれですか。

3つの認証要素のカテゴリー、つまり知識、所持、生体について学びました。

• 真のMFAでは、異なるカテゴリーの要素を組み合わせます。
• 2つ目の要素には、弱いSMSから強力なハードウェアキーまであります。
• アダプティブ認証では、リスクが高い場合にだけ要素を追加します。

次は、ワンタイムパスワードのアルゴリズムがどのように動作するかを詳しく見ていきます。