多要素認証（MFA）は、アプリケーションへのログインやその他の認証時に、複数の認証方法を用いることを指す。（続きはページの末尾にあります）
フィッシング攻撃などの手口に対抗し、システムへの侵入を防ぐツールとしてMFA（多要素認証）がある。MFAを本当に安全な認証方法にするにはどうすればいいのか。5つのポイントにまとめた。
全ての多要素認証がフィッシング攻撃に有効なわけではない。エンドユーザーを詐欺メールから守るためには、「耐フィッシング」である多要素認証が有効だ。米国CISAが推奨する対策とは。
エンドユーザーから偽のメールを通じて機密情報を引き出すフィッシング攻撃は、企業が対処すべきサイバー攻撃だ。多要素認証（MFA）でも防げない新手のフィッシング攻撃とは。
Appleは同社製デバイス向けに、物理セキュリティキーを使った認証機能を投入する。ワンタイムパスワードなど他の認証要素と比べ、物理セキュリティキーにはどのようなメリットがあるのか。
イーロン・マスク氏によるTwitter社買収の翌月、エンドユーザーから「Twitter」の2要素認証（2FA）の問題について報告が相次いだ。何が起こったのかを整理する。
「Microsoft 365」に不正ログインし、従業員に送金させようとしたビジネスメール詐欺（BEC）事件の詳細が明らかになった。攻撃者がログインを成功させるために使った巧妙な手口とは。
「Microsoft 365」に不正ログインした攻撃者はある手法を使い、長時間にわたりログイン状態を継続することに成功した。その原因は脆弱性ではないという。攻撃者は何を悪用したのか。
「Microsoft 365」で発生したアカウント不正利用問題。その原因として専門家は、Microsoft 365の多要素認証（MFA）機能にある、セキュリティ設計上の“穴”の存在を指摘する。それは何なのか。
Uber Technologiesは2022年9月に攻撃されたことを認めた。攻撃者は、活発に動いている「Lapsus$」に所属する人物とみられる。どのような手口でUberのシステムに入り込んだのか。
Microsoftのセキュリティ研究チームはフィッシング攻撃「AiTM」についての調査結果を公表。この攻撃は多要素認証（MFA）などの認証プロセスをすり抜ける。抜け道をふさぐにはどうすればいいのか。
多要素認証（MFA）のために集めたユーザーの個人情報を広告に利用したTwitter。専門家はこうした行為がMFAへの信頼を損なう可能性があると指摘する。
モバイル端末に送信したコードで認証する二要素認証は既に時代遅れだ。なぜ認証アプリが安全ではないのか。それに代わる安全なソリューションとは？
セキュリティ強化を理由に、Googleは「Googleアカウント」の2段階認証を標準で有効にした。この取り組みに対して、一部のエンドユーザーは怒りの声を上げている。それはなぜなのか。
Googleは2021年10月、「Googleアカウント」の2段階認証を標準で有効にした。なぜこうした措置に踏み切ったのか。その意図を探る。
多要素認証は、Pass-the-cookie攻撃によって迂回される可能性がある。攻撃に成功すると、サイバー犯罪者は正規ユーザーになりすましてシステムを利用することができる。
強固な認証を実現する多要素認証（MFA）を「Microsoft 365」で利用するためには、何をすればよいのか。「Azure Active Directory」の設定による実現方法を解説する。
パスワード認証を補完、強化、代替するものとして広まった二要素認証と生体認証。だが、今やそうした認証の回避策も現れ安全とは言えなくなった。
パスワードは主要な認証手段であると同時に、攻撃者にとって突破しやすい要素でもある。安全なパスワードを生成するヒントと、パスワードの代替手段として利用できる認証方法を紹介する。
パスワードの流出事故は後を絶たない。だがTide Foundationが発表した暗号化メカニズムを使えば、流出したパスワードが悪用されるのを防げるかもしれない。少なくとも従来のハッシュよりは強力だ。
パスワード認証とは別の認証方法をモバイルデバイスで利用すると、パスワードを盗み取るフィッシング攻撃を防ぎながら、利便性を高められる。有力な選択肢である「ワンタイムパスワード認証」を説明する。
パスワードなどのユーザーが知っている情報やセキュリティトークンなどのユーザーが所有する情報、ユーザー自身の生体情報といった情報から、2つ以上の情報を組み合わせて認証を実行することが多要素認証だ。
多要素認証の目標は、アプリケーションやデバイス、ネットワーク、データベースなどの各システムに、アクセス権限のない人がアクセスすることをより困難にすることだ。多要素認証を導入したシステムでは、攻撃者は仮に1つの認証情報が突破されても、ターゲットへの侵入に成功するまでに、少なくとも残り1つ以上の認証情報を利用する必要が生じる。
初期の多要素認証は、2つの認証情報を組み合わせる二要素認証（2FA）が一般的だった。しかし現在、ベンダーは2つ以上の認証情報を必要とするあらゆる認証方式を指して「多要素」と呼んでいる。多要素認証は、「IAM」（アイデンティティーおよびアクセス管理）の中核的な要素だ。
ユーザーIDとパスワードを用いた認証の欠点は、パスワードが簡単に侵害される可能性があることだ。パスワードとして考えられる文字列の組み合わせ全てを入力する総当たり攻撃（ブルートフォース攻撃）は主なサイバー攻撃手法の一つだ。これは攻撃者が自動化ツールを使って、ユーザー名とパスワードのさまざまな組み合わせを試し、正しい組み合わせを見つけて認証を突破する手法だ。
間違ったログイン試行が一定回数を超えた後にアカウントをロックする仕組みの導入は、総当たり攻撃から企業や顧客を守ることに役立つ。しかしハッカーは総当たり攻撃以外にも、システムに不正アクセスするためのさまざまな方法を持っている。多要素認証は複数の認証情報を組み合わせることで、不正アクセスを難しくする。
ユーザーのアイデンティティーを確認するために使われる認証情報のことを認証要素とも呼ぶ。認証要素は「システムへのアクセスを求める存在が、実際に主張する通りの存在である」という確信を高めることを目的として使用する。複数の認証要素を使用することで、攻撃者の不正アクセスをより困難にできる。
認証要素は主に、「知っていること」（知識情報）と「持っていること」（所有情報）、「本人であること」（生体情報）という3つの要素に分けられる。多要素認証は、これらの要素から2つ以上を組み合わせることで機能する。この3つの認証要素を以下で具体的に説明する。
ユーザーの位置情報は、4番目の認証要素と言われることがある。スマートフォンの普及によって、位置情報を使った認証の導入が容易になった。スマートフォンには一般的にGPS（全地球測位システム）機能が備わっている。ユーザーが持ち歩くスマートフォンの位置情報から、信頼できるログイン場所にいるユーザーのみアクセスを許可できるようになる。近年はログイン時間に基づく認証手法も登場している。これは特定の時間帯に特定のシステムへのユーザーのアクセスを許可する手法だ。
時間と位置情報を組み合わせた多要素認証も存在する。例えば銀行の顧客は、米国でATMカードを使用し、その15分後にロシアで使用することは物理的に不可能だ。このような認証要素を組み合わせることで、オンライン銀行詐欺を防止できる。
多要素認証には、ユーザーが自分の身元を確認するための個人的な質問の答えやパスワードを忘れてしまったり、一部のユーザーが自身のセキュリティトークンやパスワードを他人と共有してしまったりするリスクがある。
多要素認証の長所は、ハードウェアやソフトウェアを利用する際の認証時のセキュリティを強化できる点だ。パスワード認証のみの場合と比べて、セキュリティ侵害のリスクを抑えられる。
市場にはIT管理者やユーザーが簡単に設定できるさまざまな多要素認証システムがあり、多要素認証の導入や時間帯や場所に応じたアクセス制御が容易にできる。大企業向けの高価かつ複雑なソフトウェアから、中小企業向けの手頃なソフトウェアまで、用途や予算に応じてさまざまな製品やサービスが選択できる。
多要素認証の欠点の一つは、認証にワンタイムパスワードやセキュリティトークンを利用する場合に、スマートフォンなどのデバイスが必要になる点だ。こうしたデバイスは、紛失や盗難のリスクがある。またユーザーの親指の指紋や顔などの生体情報は常に一定の状態を保っているとは限らないため、これらを認証に利用する場合に誤検知や誤判定を引き起こすことがある。ネットワークや多要素認証システムが停止すると、ユーザーが目的のアプリケーションにアクセスできなくなる可能性がある。
サイバー攻撃者は多要素認証を破るために絶え間なく研究を続けている。そのため多要素認証技術を常にアップグレードする必要がある点にも注意が必要だ。
二要素認証は、ユーザー自身が正当な認証されたユーザーであることを示すために、2種類の認証要素を用いて認証する手法だ。二要素認証の登場当初は、ユーザーIDとパスワードによる認証に、カードやPINによる認証を組み合わせるのが一般的だった。
しかしハッカーはパスワードを突破する手法や、デビットカード、クレジットカードをスキミングする方法を見つけた。そのためセキュリティベンダーやユーザー企業は、追加の認証要素を使用した、より強固なユーザー認証方法を模索するようになった。
多要素認証は少なくとも2つ以上の認証要素を必要とするが、二要素認証は2つの認証要素のみを必要とする。そのため全ての二要素認証は多要素認証の一つであるが、逆は必ずしもそうではない。
多要素認証（MFA）には、複数のパスワードを覚えたりセキュリティトークンを持ち歩いたりする必要があるなど、ユーザーの使い勝手に関わる課題がある。そのような中でセキュリティベンダーは、認証を簡素化するための技術の開発を進めている。
多要素認証を簡素化するための主なアプローチを4つ説明する。
#適応型多要素認証（アダプティブMFA）
＃シングルサインオン（SSO）
＃プッシュ認証
＃パスワードレス認証
ITmediaはアイティメディア株式会社の登録商標です。
