【初心者向け】多要素認証とは? 二段階認証との違いや具体例を紹介
2つ以上の要素を用いて認証を行う「多要素認証(MFA)」。今回は多要素認証について簡単に解説し、さらに多要素認証のメリットや求められる背景について具体例を交えて説明します。また、混同しやすい二段階認証や二要素認証との違いについても説明します。
- 目次
多要素認証(MFA)とは
「多要素認証」とはWebサービスなどにログインする際に2つ以上の種類の要素を用いて認証する方法のことで、英語では「MFA（Multi-Factor Authentication）」となります。ログインというとIDとパスワードを入力する方法が思い浮かびますが、パスワードを使いまわしていたり、誰でも目に付く場所にパスワードをメモして掲示しておいたりしている場合にはセキュリティ強度が大幅に低下してします。多要素認証は、セキュリティ強度を高めるための仕組みです。
多要素認証と二段階認証の違い
多要素認証と似た言葉に「二段階認証」があります。二段階認証は単に「認証を2回行う」方法で、使用する要素の数は問いません。具体的には、IDとパスワードを入力したのち、スマートフォンのショートメッセージやメールで受信した8桁程度の認証コードを入力する方法や、あらかじめ自分で設定しておいた秘密の質問に対しての答え（「初めて飼ったペットの名前は？」など）を入力する方法などがあります。IDとパスワードを利用した認証と比較して手順は煩雑になりますが、その分セキュリティ強度は高くなります。
多要素認証と二要素認証の違い
「二要素認証」は「2つの要素を使って認証を行う」方式です。具体的には、銀行のATMで使用されるキャッシュカードを入れてから暗証番号を入力する方法や、ネットバンキングで振り込みを行う際にIDとパスワードを入力したのちにトークンなどで生成したワンタイムパスワードを入力する方法などがあります。複数の要素を用いるため、多要素認証の一種といえます。
多要素認証で使われる3つの要素
先程から文中に登場している「要素」という言葉が聞きなれないという方も多いのではないでしょうか。簡単にいうと、多要素認証とは次に紹介する3つの要素のうち2つ以上が使用される認証方法を指します。それぞれ詳しくみてみましょう。
知識情報
「知識情報」は「自分だけが知っている情報」を指し、英語では「Something You Know（SYK）」となります。具体的には自分で設定した暗証番号やパスワード、先ほども登場した秘密の質問への答えなどがこれに含まれます。ただし、他人に知られてしまった場合にはセキュリティ強度が低下します。
所持情報
「所持情報」は「自分だけが持っているモノ」を指し、英語では「Something You Have（SYH）」となります。具体的には社員証などのICカード、スマートフォン、そして先ほども登場したキャッシュカードやトークンなどがこれに含まれます。知識情報よりもセキュリティ強度は高いものの、紛失や盗難に遭うと当然セキュリティが低下します。
生体情報
「生体情報」は、「自分自身」を指し、英語では「Something You Are（SYA）」となります。具体的には指紋、顔、静脈などがこれに含まれます。具体的には虹彩認証によるマンションのエントランス開放や顔認証によるスマートフォンのロック解除がこれに含まれます。パスワードを覚えたり入力したりする煩わしさがなくセキュリティ強度も高い反面、生体情報をコピーされ不正アクセスされるリスクもあります。スパイ映画などで、ロウのような素材を使って指紋認証を突破するシーンをご覧になった方もいらっしゃるかもしれません。
多要素認証が求められる背景
サイバー攻撃･不正アクセスが増加した
現在、多要素認証が求められている背景には、サイバー攻撃の増加があります。特に不正アクセスについては、2022年における国内での認知件数が前年比約45.1％増の2,200件にのぼったという発表もある通り、明らかな増加傾向が認められます。特に同一のパスワードを使いまわしていたり、電話番号の下4桁など推測されやすい暗証番号を使用していたりすると被害を受けるリスクが高くなります。また、「総当たり攻撃（プルートフォース）」という力技で強引にパスワードを盗み取る方法もあり、知識情報のみでの保護は限界に来ているともいえます。そのため、サイバー攻撃や不正アクセスに対応できる多要素認証の重要度が増しているのです。
不正アクセスについて詳しくは、「【事例あり】不正アクセスとは？手口や被害・対策を紹介」を参照してください。
クラウドサービスが普及した
クラウドサービスの普及も多要素認証の必要性を高めました。クラウドサービスを利用すれば社外からでも社内の機密情報にアクセスすることが可能となり、リモートワークなどを行う際には便利です。そのため近年ではクラウドサービスを導入する企業は増加しています。ただし、社内の機密情報を社外に置くことになる訳ですから、それなりのセキュリティ対策を施す必要があります。そこで高いセキュリティ強度を誇る多要素認証が求められるわけです。
テレワーク時のセキュリティ強化について詳しくは、「テレワークはセキュリティ対策が重要！便利なツールを紹介」を参照してください。
多要素認証の具体例
スマートフォンのロック解除
先に紹介したスマートフォンのロック解除は、実は多要素認証の一種です。スマートフォン自体を保有していなければ当然ロック解除できませんから、スマートフォンは「所有情報」にあたります。そしてロック解除時に使用する指紋認証、顔認証は「生体情報」にあたります。
銀行のATM
二要素認証で紹介した銀行のATMでは、キャッシュカードが「所有情報」、4桁の暗証番号が「知識情報」にあたります。不正利用されれば直接金銭被害につながる重大事件となりますから、ATMについてはかなり早くから多要素認証が導入されていたことが分かります。
多要素認証のメリット
セキュリティを強化できる
多要素認証の最大のメリットはセキュリティ強度を高められる点にあります。要素の組み合わせ方にもよりますが、多要素認証によりログインIDとパスワードによる認証では防ぎきれなかったサイバー攻撃や不正アクセスの多くをブロックできる可能性があります。
特にクラウドサービスを利用している場合には、多要素認証を採用することで企業のセキュリティ強度を高め、自社の重要な機密データや情報資産を保護することが可能となるでしょう。
パスワード管理の手間を減らせる
パスワード管理の手間を減らせることも多要素認証のメリットの1つです。パスワードは覚えておかなければならない上、セキュリティ強度を保つため定期的に変更することを求められます。その都度覚え直さねばならないため、そうした管理の手間が面倒で「1234」のような安直なパスワードを設定したり、同一のパスワードを使いまわしたりしている人も少なくないのではないでしょうか。仮に安直なパスワードを使い回した場合、漏えいした際に複数のサービスで被害に遭う危険性があります。
例えば社員IDカード（所持情報）をスロットに差し込んでから顔認証（生体情報）で社内システムにアクセスする、など知識情報以外の要素を取り入れた多要素認証を採用すれば、パスワード管理の手間を省きながらセキュリティ強度を高めることができます。
多要素認証のデメリット
導入にはコストがかかる
多要素認証には当然デメリットもあります。まずはコストの問題があげられるでしょう。組み合わせ方にもよりますが、使用する要素によっては導入時に新規の機器購入や大規模なシステムの構築が必要となりますし、その後の運用にもコストがかかります。
IDとパスワードでの認証ではあまりコストがかからないことを考えれば、純粋な「コスト増」にあたります。ですから導入時には自社が必要とするセキュリティ強度と多要素認証導入に割ける予算を勘案し、使用する要素や組み合わせについて十分に検討する必要があるでしょう。
利便性が下がる場合がある
多要素認証により利便性が下がる可能性もあります。多要素認証では認証に複数の要素を利用するため、認証には要素の数だけ時間がかかります。特にその都度サーバーと認証情報をやりとりするようなシステムではタイムラグがストレスに感じるかもしれません。また、生体情報の認証精度を上げようとすれば、当然認証エラーの回数も増加するでしょう。
パスワード管理の手間が減少したとしても、ログインにあたっての手間が増えてしまっては意味がありませんから、導入に当たっては導入後の利便性についても十分考慮しましょう。
セキュリティ強化&業務効率化を図るなら｢Secure Access Gateway｣
NTTPCの「Secure Access Gateway」は、複数の機能によってセキュリティ強度を高め、ネットワークに関する様々な課題を解決するソリューションです。テレワークが普及した現代において、SASE（Secure Access Service Edge、サシー）のフレームワークにもとづき社内外から安全にクラウドサービスにアクセスできる「ネットワーク機能」と「セキュリティ機能」とをまとめて提供します。
また、Secure Access Gatewayは1度の認証で複数のクラウドアプリや社内VPNにアクセスできる「シングルサインオン（SSO）」の機能も備えています。セキュリティ強度の低下につながる「パスワードの単純化」「パスワードの使いまわし」は、複数回のログイン認証が必要で手間がかかる、パスワード管理の手間が面倒、などが原因で発生します。Secure Access Gatewayのシングルサインオン機能を活用すれば、一旦多要素認証でログインした以降は複数のクラウドアプリをログイン不要で安全・簡単に使用できます。
また、初期料金0円、シングルサインオンは1ユーザーあたり税込500円で利用可能。低料金で情報漏えいリスクを低減できます。
シングルサインオンについて詳しくは、「シングルサインオン（SSO）とは？ 意味や仕組みをわかりやすく解説」を参照してください。
そのほか、Secure Access Gatewayのセキュリティ機能について詳しくは、「【Secure Access Gateway】NTTPCのネットワーク安全対策」を参照してください。
まとめ
今回は2つ以上の種類の要素を用いて認証する「多要素認証(MFA)」について解説しました。
多要素認証では、「知識情報」「所持情報」「生体情報」のうち2つ以上が使用されるため、ログインIDとパスワードを使用する通常の認証方法と比較してよりセキュリティ強度を高めることができます。サイバー攻撃や不正アクセスが増加し、クラウドサービスが普及した現代においては必須の技術といえるでしょう。
また、多要素認証にはセキュリティの強化に加えてパスワード管理の手間を減らせるというメリットもあります。導入の仕方によってはコストが嵩んだり、利便性が下がったりする場合もありますが、クラウド上に保存した自社の重要な機密データや情報資産を守るため、この機会に導入を検討してみてはいかがでしょうか。
※ICT Digital Columnに記載された情報は、リリース時点のものです。
商品・サービスの内容、お問い合わせ先などの情報は予告なしに変更されることがありますので、あらかじめご了承ください。
