多要素認証（MFA）は、アプリケーションへのログインやその他の認証時に、複数の認証方法を用いることを指す。（続きはページの末尾にあります）
2017年1月、FacebookがFIDO AllianceのU2F標準に対応したことが話題になった。毎日60万件のセキュリティ侵害が発生しているというFacebookは、これにより安全に近づくのだろうか。
GoogleはFIDO AllianceのU2F標準のサポートを発表。ChromeとU2F対応USBキーがあればユーザー認証が簡単かつセキュアになる。この動きは他社にも広まるのか？
二要素認証を実現するワンタイムパスワードサービスを、クラウド型で提供。マルチデバイスに対応し、複数サービス間でのトークン共有を可能とした。
AWSは2024年5月から一部のエンドユーザーを対象に、多要素認証（MFA）を必須化した。その成果を踏まえ、さらに対象範囲を拡大する計画だ。
Googleは2025年中にGoogle Cloudの多要素認証（MFA）を必須にする計画だ。この方針は、サイバーセキュリティの業界関係者から好意的に受け止められた。どのような点が好評を得ているのか。
サイバー攻撃が巧妙化し、サプライチェーンへの攻撃も激化する中、不正アクセス対策として「認証」の強化が急務となっている。大企業のみならず、中小企業にも適用可能な、コストを抑えたMFA（多要素認証）実現手法を紹介する。
フィッシング攻撃などの手口に対抗し、システムへの侵入を防ぐツールとしてMFA（多要素認証）がある。MFAを本当に安全な認証方法にするにはどうすればいいのか。5つのポイントにまとめた。
全ての多要素認証がフィッシング攻撃に有効なわけではない。エンドユーザーを詐欺メールから守るためには、「耐フィッシング」である多要素認証が有効だ。米国CISAが推奨する対策とは。
エンドユーザーから偽のメールを通じて機密情報を引き出すフィッシング攻撃は、企業が対処すべきサイバー攻撃だ。多要素認証（MFA）でも防げない新手のフィッシング攻撃とは。
パスワードセキュリティを強化する一つの手段として、多要素認証（MFA）がある。MFAや他のツールの活用、パスワードセキュリティガイドライン策定を軸にした保護策を紹介する。
Googleはアカウントのセキュリティシステムに「Advanced Protection Program」を追加した。ユーザーは不正行為に対する守りをどう強化できるのか。専門家が解説する。
「多要素認証」の導入は簡単ではない。エンドユーザーは時として、何層もの認証が課されることに対して拒否反応を示すからだ。セキュリティと利便性を両立させる策はあるのか。
パスワードなどのユーザーが知っている情報やセキュリティトークンなどのユーザーが所有する情報、ユーザー自身の生体情報といった情報から、2つ以上の情報を組み合わせて認証を実行することが多要素認証だ。
多要素認証の目標は、アプリケーションやデバイス、ネットワーク、データベースなどの各システムに、アクセス権限のない人がアクセスすることをより困難にすることだ。多要素認証を導入したシステムでは、攻撃者は仮に1つの認証情報が突破されても、ターゲットへの侵入に成功するまでに、少なくとも残り1つ以上の認証情報を利用する必要が生じる。
初期の多要素認証は、2つの認証情報を組み合わせる二要素認証（2FA）が一般的だった。しかし現在、ベンダーは2つ以上の認証情報を必要とするあらゆる認証方式を指して「多要素」と呼んでいる。多要素認証は、「IAM」（アイデンティティーおよびアクセス管理）の中核的な要素だ。
ユーザーIDとパスワードを用いた認証の欠点は、パスワードが簡単に侵害される可能性があることだ。パスワードとして考えられる文字列の組み合わせ全てを入力する総当たり攻撃（ブルートフォース攻撃）は主なサイバー攻撃手法の一つだ。これは攻撃者が自動化ツールを使って、ユーザー名とパスワードのさまざまな組み合わせを試し、正しい組み合わせを見つけて認証を突破する手法だ。
間違ったログイン試行が一定回数を超えた後にアカウントをロックする仕組みの導入は、総当たり攻撃から企業や顧客を守ることに役立つ。しかしハッカーは総当たり攻撃以外にも、システムに不正アクセスするためのさまざまな方法を持っている。多要素認証は複数の認証情報を組み合わせることで、不正アクセスを難しくする。
ユーザーのアイデンティティーを確認するために使われる認証情報のことを認証要素とも呼ぶ。認証要素は「システムへのアクセスを求める存在が、実際に主張する通りの存在である」という確信を高めることを目的として使用する。複数の認証要素を使用することで、攻撃者の不正アクセスをより困難にできる。
認証要素は主に、「知っていること」（知識情報）と「持っていること」（所有情報）、「本人であること」（生体情報）という3つの要素に分けられる。多要素認証は、これらの要素から2つ以上を組み合わせることで機能する。この3つの認証要素を以下で具体的に説明する。
ユーザーの位置情報は、4番目の認証要素と言われることがある。スマートフォンの普及によって、位置情報を使った認証の導入が容易になった。スマートフォンには一般的にGPS（全地球測位システム）機能が備わっている。ユーザーが持ち歩くスマートフォンの位置情報から、信頼できるログイン場所にいるユーザーのみアクセスを許可できるようになる。近年はログイン時間に基づく認証手法も登場している。これは特定の時間帯に特定のシステムへのユーザーのアクセスを許可する手法だ。
時間と位置情報を組み合わせた多要素認証も存在する。例えば銀行の顧客は、米国でATMカードを使用し、その15分後にロシアで使用することは物理的に不可能だ。このような認証要素を組み合わせることで、オンライン銀行詐欺を防止できる。
多要素認証には、ユーザーが自分の身元を確認するための個人的な質問の答えやパスワードを忘れてしまったり、一部のユーザーが自身のセキュリティトークンやパスワードを他人と共有してしまったりするリスクがある。
多要素認証の長所は、ハードウェアやソフトウェアを利用する際の認証時のセキュリティを強化できる点だ。パスワード認証のみの場合と比べて、セキュリティ侵害のリスクを抑えられる。
市場にはIT管理者やユーザーが簡単に設定できるさまざまな多要素認証システムがあり、多要素認証の導入や時間帯や場所に応じたアクセス制御が容易にできる。大企業向けの高価かつ複雑なソフトウェアから、中小企業向けの手頃なソフトウェアまで、用途や予算に応じてさまざまな製品やサービスが選択できる。
多要素認証の欠点の一つは、認証にワンタイムパスワードやセキュリティトークンを利用する場合に、スマートフォンなどのデバイスが必要になる点だ。こうしたデバイスは、紛失や盗難のリスクがある。またユーザーの親指の指紋や顔などの生体情報は常に一定の状態を保っているとは限らないため、これらを認証に利用する場合に誤検知や誤判定を引き起こすことがある。ネットワークや多要素認証システムが停止すると、ユーザーが目的のアプリケーションにアクセスできなくなる可能性がある。
サイバー攻撃者は多要素認証を破るために絶え間なく研究を続けている。そのため多要素認証技術を常にアップグレードする必要がある点にも注意が必要だ。
二要素認証は、ユーザー自身が正当な認証されたユーザーであることを示すために、2種類の認証要素を用いて認証する手法だ。二要素認証の登場当初は、ユーザーIDとパスワードによる認証に、カードやPINによる認証を組み合わせるのが一般的だった。
しかしハッカーはパスワードを突破する手法や、デビットカード、クレジットカードをスキミングする方法を見つけた。そのためセキュリティベンダーやユーザー企業は、追加の認証要素を使用した、より強固なユーザー認証方法を模索するようになった。
多要素認証は少なくとも2つ以上の認証要素を必要とするが、二要素認証は2つの認証要素のみを必要とする。そのため全ての二要素認証は多要素認証の一つであるが、逆は必ずしもそうではない。
多要素認証（MFA）には、複数のパスワードを覚えたりセキュリティトークンを持ち歩いたりする必要があるなど、ユーザーの使い勝手に関わる課題がある。そのような中でセキュリティベンダーは、認証を簡素化するための技術の開発を進めている。
多要素認証を簡素化するための主なアプローチを4つ説明する。
#適応型多要素認証（アダプティブMFA）
＃シングルサインオン（SSO）
＃プッシュ認証
＃パスワードレス認証
ITmediaはアイティメディア株式会社の登録商標です。
