情報セキュリティにおける2要素認証（2FA）の主な種類を徹底解説

2要素認証（2FA）とは

2要素認証（Two-Factor Authentication：2FA）には、さまざまな種類があります。本記事では、代表的な6つの認証方式について、それぞれの仕組みと特徴をわかりやすく解説します。

ハードウェアトークン

ハードウェアトークン方式の2FAでは、ユーザーはUSBトークンなどの物理的なデバイスを所有し、ログイン前に自分の端末へ挿入する必要があります。一部のハードウェアトークンは、ユーザーが入力すべきデジタルコードを表示する機能も備えています。

SMSおよび音声による2FA

SMSベースの2FAは、ユーザーの携帯電話と直接連携する方式です。ユーザー名とパスワードを入力すると、サイトから一意のワンタイムパスコード（OTP）がテキストメッセージで送信されます。

ハードウェアトークンの場合と同様に、ユーザーはアクセスが許可される前に、このOTPをソフトウェアに入力します。また、音声ベースの2FAでは、システムが自動的にユーザーへ電話をかけ、音声で認証コードを伝えます。この方式は一般的ではありませんが、スマートフォンが高価な国や、携帯電話の通信環境が劣る地域で活用されることがあります。

ソフトウェアトークン（TOTP）

最も広く普及している2要素認証の一つが、ソフトウェアによって生成される時間ベースのワンタイムパスコードを使う方式です。「TOTP（Time-based One-Time Password）」または「ソフトトークン」と呼ばれています。

まず、ユーザーはスマートフォンやデスクトップPCに無料の2FAアプリをダウンロードしてセットアップします。その後、この認証方式に対応するあらゆるサイトでアプリを利用できます。

サインイン時には、最初にユーザー名とパスワードを入力し、認証された後に、アプリに表示されたコードを入力します。

ハードウェアトークンと同じく、ソフトトークンの有効期限は通常1分未満です。さらに、コードが同一デバイス上で生成・表示されるため、SMSや音声での配信における最大の懸念事項である「ハッカーによる傍受」のリスクを排除できます。

プッシュ通知による2FA

この方式では、事前にスマートフォンへプッシュ通知アプリをダウンロードしておきます。ウェブサイトにアクセスする際にログイン情報を入力すると、スマートフォンにプッシュ通知が届き、画面上のメッセージをタップするだけでログイン試行を承認できます。

サービス提供元、2FAサービス、デバイス間の直接的かつ安全な接続により、プッシュ通知はフィッシングや中間者攻撃（MITM攻撃）、不正アクセスの機会を大幅に減らせます。

ただし、この方式が機能するのは、インターネットに接続でき、アプリをインストール可能なデバイスに限られます。代替手段としてはSMSベースの2FAが好まれますが、選択可能な環境では、プッシュ通知の方がよりユーザーフレンドリーで安全性の高いセキュリティを実現します。

生体認証

生体認証による2FAは、ユーザー自身をトークンとして扱う認証方式で、実用化が目前に迫っています。現在の技術革新としては、指紋、網膜パターン、顔認識による本人確認などが挙げられます。

さらに、周囲の環境音、脈拍、タイピングパターン、声紋なども分析対象になりつつあります。これらの2FA手法の一つが本格的に普及する一方で、生体認証を攻略しようとするハッカーの動向にも注意が必要となるでしょう。

位置情報

アカウントが特定の地域で作成・登録されていたにもかかわらず、突然別の場所からログインが試みられた場合、位置情報要素がトリガーされます。この仕組みにより、新しいデバイスからのログイン試行時にアラートが届き、本人確認用のコードが送信されます。