多要素認証

多要素認証（MFA）では、異なるカテゴリに属する2つ以上の独立した要素を使って、ユーザーが本人であることを証明します。1つの要素が侵害されても（盗まれたパスワードなど）、アカウントは保護されたままです。

認証要素には次のものがあります。

• 知っているもの — パスワード、PIN、秘密の質問
• 持っているもの — 携帯電話、ハードウェアトークン、スマートカード
• 本人そのもの — 指紋、顔、声（生体認証）

真のMFAでは、異なるカテゴリを少なくとも2つ使用します。パスワードを2つ使うことではありません。

TOTPは、共有シークレットと現在時刻を使って、30秒ごとに変わる6桁のコードを生成します（RFC 6238）。アプリの例：Google Authenticator、Authy、Microsoft Authenticator。

TOTPはリプレイ攻撃には強い一方、リアルタイムフィッシングには脆弱です。

SMSベースのOTPは便利ですが、大きな弱点があります。

• SIMスワッピング — 攻撃者がソーシャルエンジニアリングで通信事業者をだまし、被害者の電話番号を移行させます
• SS7攻撃 — 国家主体が通信事業者レベルでSMSを傍受します
• リアルタイムフィッシング — 攻撃者がOTPを被害者から標的サイトへ即座に中継します

SMS OTPはMFAを使わないよりは優れていますが、最も脆弱な方式です。

ハードウェアセキュリティキー（YubiKey、Google Titan）は公開鍵暗号を使用します。デバイスは特定のWebサイトに紐付いたチャレンジに署名するため、フィッシングに強く、偽サイトでは機能しません。

これはMFAの最高水準です。

認証アプリがプッシュ通知を送信します。「ニューヨークからのログインを承認しますか？」ユーザーは承認または拒否をタップします。便利ですが、MFA疲労攻撃には脆弱です。攻撃者が承認リクエストを大量に送り、疲れたユーザーが誤って承認するまで続けます。

プッシュ爆撃とも呼ばれます。攻撃者はパスワードを入手し、ユーザーが苛立ちや混乱から1つを承認することを期待して、何十件ものMFAプッシュ通知を送信します。対策として、プッシュ通知で番号照合を必須にします（ユーザーはログイン画面に表示されたコードを入力する必要があります）。

パスキー（FIDO2/WebAuthn）は、「持っているもの」（デバイスキー）と「本人そのもの」（生体認証によるロック解除）を、フィッシングに強い1つの認証情報に組み合わせます。パスワードは必要ありません。主要なプラットフォームでサポートされています。

最新のIDプラットフォームは条件付きアクセスに対応しています。これは、リスクシグナル（不慣れな場所、新しいデバイス、機密リソースなど）が示す場合にのみMFAを要求する仕組みです。ステップアップ認証により、セキュリティを維持しながらUXを向上させられます。

攻撃者は次の方法でMFAをバイパスします。

• リアルタイムフィッシング（AiTM） — プロキシがMFA後にセッションCookieを取得します
• SIMスワッピング — SMSコードを傍受します
• MFA疲労 — プッシュ通知を大量に送信します
• サポート窓口へのソーシャルエンジニアリング — サポートチケットでMFAを無効化させます

MFAを導入するときは、次の点に注意してください。

• デフォルトで全ユーザーにMFAを必須にします
• 複数のMFA方式を提供しますが、ハードウェアキーとTOTPを利用できるようにします
• MFA疲労についてユーザーに説明します。自分でログインを開始していない場合は、プッシュ通知を拒否してください
• 認証ログでMFAバイパスのパターンを監視します

認証を特定のWebサイトに暗号学的に紐付けることでフィッシングに強いMFA方式はどれですか？

MFAでは、異なるカテゴリ（知っているもの、持っているもの、本人そのもの）から2つの要素が必要です。TOTPアプリは優れていますが、ハードウェアキー（FIDO2）は最も優れており、フィッシングに強い方式です。SMS OTPは最も脆弱で、SIMスワッピングの影響を受けます。MFA疲労攻撃ではプッシュ通知を大量に送信しますが、番号照合によって軽減できます。パスキーはハードウェアと生体認証を1つのシームレスな認証情報に組み合わせます。