全てのMFAツールは、ユーザーに対して少なくとも2種類の異なる認証要素を使用することを求める。認証要素は大きく次の3つのカテゴリーに分類できる。

• 知識要素
  • パスワードや暗証番号、PINなど、ユーザーが記憶している情報。
• 生体要素
  • 指紋、虹彩、顔など、ユーザーの身体的特徴。
• 所有要素
  • ハードウェアトークン、スマートカード、認証規格「FIDO2」準拠セキュリティキーなど、ユーザーが所持する物理的デバイス。

　MFAツールは、異なるカテゴリーの認証要素を組み合わせて使用しなければならない。例えば、パスフレーズ（長く複雑な文字列による認証）と顔認証を組み合わせるのは有効だが、パスワードとPINのように、同じ「知識要素」同士を組み合わせることはできない。

　理想的には、各認証要素が十分に強力であることが望ましい。しかし実際には、MFAにおける1つ目の認証要素はパスワードかPINである場合が多く、どちらもフィッシングなどの攻撃に対して脆弱（ぜいじゃく）になりやすい。従って、残りの認証要素はそれ以上に強固である必要がある。

　MFAで検討すべき一般的な認証要素として、以下が挙げられる。

パスワード、パスフレーズ、PIN

　パスワード、パスフレーズ、PINは、ユーザーを認証するための文字列や数字で構成される「知識要素」だ。3つとも単独では安全性が低く、フィッシングや総当たり攻撃（ブルートフォース攻撃）によって容易に突破される可能性がある。アカウントやアクセス権を保護するためには、これらと組み合わせる強力な第2要素または第3要素が不可欠だ。

ワンタイムパスワード（OTP）

　OTPは、ユーザーが受け取り、短時間だけ有効な使い捨てコードを別のシステムに入力して認証する仕組みだ。多くの場合、有効期限は30秒程度で、時間が経過すると自動的に更新または無効化される。以下のバリエーションがある。

• 電子メールOTP
  • 登録済みのメールアドレス宛にコードを送信する方式。操作は容易だが、ユーザーのメールアカウントが侵害された場合には攻撃を受けやすい。
• SMS OTP
  • 携帯電話宛にショートメッセージ（SMS）でコードを送信する方式。通信の盗聴やSIMスワップ攻撃のリスクが高く、安全でないことが広く知られており、MFAには推奨されない。
• 音声OTP
  • 電話音声でコードを通知する方式。SMSと同様の脆弱性を抱えており、安全ではないためMFAには推奨されない。
• 認証アプリによるOTP
  • 「Google Authenticator」や「Microsoft Authenticator」などのアプリケーションで生成され、特定のリソースと関連付けられる方式。電子メールやSMS、音声によるOTPよりも強力で、コードを入力する人物が実際にスマートフォンを所持していることを確認できる。ユーザーのデバイスが侵害されていなければ、比較的安全性が高い。

生体認証

1. ノートPCに内蔵された指紋認証センサーや、スマートフォンに搭載された顔認証スキャナーなどを利用する方式。認証が迅速でユーザビリティー（使いやすさ）に優れている一方で、絶対的な安全性を保証するものではない。外見の変化や指の切り傷、乾燥などの皮膚状態、光の加減などによって認証精度が低下する可能性がある。また、利用には生体認証機能を搭載したデバイスが必要であり、必ずしも全てのユーザーがこれらの機器を所持しているとは限らない。

位置情報に基づく認証

　ユーザーの物理的な位置情報を基に認証する方式。所定の場所以外からログインしようとすると、追加の認証が要求される。特定のオフィスやネットワークからのみアクセス可能にすることでセキュリティを強化できるが、出張や在宅勤務などでの利用時に不便が生じる可能性がある。また、セキュリティチームにとっても、位置情報ポリシーの管理や例外対応が複雑化することがある。

暗号認証

　ユーザーが秘密鍵（プライベートキー）を所有していることを証明する方式。代表的な例としては、物理的な暗号化ハードウェアトークン「YubiKey」（ワンタイムパスワードにも利用可能）がある。暗号認証は極めて強固だが、物理的なデバイスの所持が前提となるため、紛失や置き忘れのリスクがある。

フィッシング耐性のあるMFAと適応型MFA

　近年、多くのMFAは、セキュリティをさらに高めるためにフィッシング耐性のあるMFAや適応型MFAといった機能を搭載している。

フィッシング耐性のあるMFA

　FIDO2/WebAuthn認証（注）や、PKI（Public Key Infrastructure：公開鍵基盤）を利用したMFA方式など、MFAバイパス攻撃（MFAを回避する攻撃手法）を防ぐ認証プロセスを指す。代表的なMFAバイパス攻撃には、「プッシュ爆撃」（Push Bombing／MFA疲弊攻撃）、「SIMスワップ」「フィッシング」などがある。

※注：FIDO（Fast IDentity Online）は、認証関連の業界団体FIDO Allianceが策定したパスワードレス認証の規格群。WebAuthn（Web Authentication）はFIDO2をベースにしたWebブラウザ対応のパスワードレス認証技術で、公開鍵暗号方式を用いて安全に認証を行う。

適応型MFA（Adaptive MFA）

　アクセスしようとしているユーザーの行動や属性（アクセス元デバイス、位置情報、時間帯など）と、そのユーザーのリスクプロファイルに基づいて、認証の強度や手順を動的に調整する方式。例えば、通常と異なる国やIPアドレスからのアクセスが検出された場合には、追加の認証要素を要求してセキュリティを強化する。

　次回は、MFAのユースケースや設計時の考慮事項などを解説する。