多要素認証（MFA）の仕組みをわかりやすく解説

多要素認証（MFA）とは

多要素認証（MFA：Multi-Factor Authentication）とは、ネットワークやオンラインサービスへのアクセス前に、ユーザーへ複数の確認要求を行い、本人性を検証するセキュリティ手順です。MFAでは「知識要素」「所持要素」、あるいは地理的・ネットワーク上の位置情報などを組み合わせて、ユーザーの身元確認を行います。

MFAの具体例

銀行ATMの利用

多要素認証の代表的な例が、銀行ATMの利用手順です。口座へアクセスするには、キャッシュカード（所持要素）を挿入し、暗証番号PIN（知識要素）を入力する必要があります。

時間ベースのワンタイムパスワード（TOTP）

もう一つの一般的な例として、金融機関や大企業が業務フロー、ソフトウェア、アカウントの保護に利用している、時間ベースのワンタイムパスワード（TOTP）方式が挙げられます。ログインを要求すると、ユーザーはテキストメッセージ、電話、またはメールで送信された一時的なパスコードの入力を求められます。

なぜMFAが必要なのか

MFAは、不正アクセス者が持ち得ない検証手段を必要とします。パスワードだけでは本人確認として不十分であるため、MFAは複数の証拠によって身元を確認します。

MFAで最も広く知られている形式が二要素認証（2FA）です。その考え方は、攻撃者が一つの証拠要素を使ってユーザーになりすませたとしても、2つ以上の証拠を揃えることは困難だというものです。

適切なMFAの条件

正しい多要素認証には、少なくとも2つの異なるカテゴリの要素が必要です。同じカテゴリから2つ選んでも、MFAの目的は達成できません。例えば、パスワードと秘密の質問の組み合わせは広く使われていますが、どちらも知識要素に属するため、MFAとしては認められません。

一方、パスワードと一時的なパスコードの組み合わせは有効です。パスコードは所持要素であり、特定のメールアカウントやモバイルデバイスの所有を確認できるためです。多要素認証はログイン手順に1〜2ステップ追加しますが、決して複雑なものではありません。

進化し続ける認証技術

セキュリティ業界では、MFAの手続きを簡素化するソリューションの開発が進んでおり、認証技術はますます洗練されています。例えば、指紋や顔スキャンなどの生体認証要素は、迅速かつ確実なログインを実現します。

また、GPS、カメラ、マイクなどモバイルデバイスの機能を認証要素として活用する新しい技術も登場しており、本人確認プロセスのさらなる強化が期待されています。プッシュ通知のようなシンプルな手法では、スマートフォンやスマートウォッチを一度タップするだけで本人確認が完了します。

MFAの導入方法

一部のOS、サービスプロバイダー、アカウントベースのプラットフォームには、すでにMFAがセキュリティ設定に組み込まれています。個人ユーザーや中小企業にとって、MFAの利用は、OSやウェブプラットフォーム、サービスプロバイダーの設定画面を開き、該当機能を有効化するだけで実現できます。

MFAとSSOの違い

MFAはセキュリティ強化のための仕組みである一方、SSO（シングルサインオン）は生産性向上のためのシステムです。SSOにより、ユーザーは1組のログイン資格情報だけで、従来それぞれ個別のログインが必要だった複数のシステムやアプリケーションへアクセスできるようになります。

MFAと単一要素認証の違い

多要素認証（MFA）は、ユーザーの身元を認証するために複数の技術を必要とします。一方、単一要素認証（いわゆる「認証」）は、ユーザーの真正性を検証するために1つの技術のみを使用します。MFAでは、少なくとも2つの異なるカテゴリの認証要素から検証技術を組み合わせる必要があります。