ブログ

     

多要素認証ってどんなもの?種類と安全性について詳しく解説

多要素認証ってどんなもの?種類と安全性について詳しく解説

多要素認証とは

テレワークの普及で情報セキュリティの重要性が再認識され、多要素認証というワードを耳にする機会が依然増しましたしかし、その内容を理解している方は多くないようです。実際、フィッシング対策協議会が行ったアンケートによると、3割程度の人が多要素認証という言葉を聞いたことはあるが、内容は知らないと答えています※。本記事では、認証における要素とは何かの説明や、多要素認証とはどんな認証方式かを従来のパスワード認証と比較して解説します。

※参照『インターネットサービス利用者に対する 「認証方法」に関するアンケート調査結果報告書を公開 (2020/09/09)

パスワード認証の限界

従来の単純なパスワード認証の問題点として、簡単に推測可能なパスワードを設定しているユーザーやアカウントが多いということが挙げられます。たとえ強固なパスワードを設定していたとしても、複数のサービスで同じパスワードを使い回していると、パスワードリスト攻撃といった手法により複数のアカウントをまとめてハッキングされるリスクがあります。
基本的には強固なパスワードを設定し、使い回さないことがベストですが、主に人間の記憶や簡単なツールなどに頼るパスワード認証では、運用上の便宜性からも限界があります。

パスワードリスト攻撃とは
悪意を持った第三者が、何らかの手段でリスト化されたID・パスワードを入手します。それを利用することによりWebサイトにアクセスし、不正ログインを試みる攻撃です。

多要素認証とはどのようなもの?

以上の理由で、多要素認証への注目が集まっています。多要素認証を理解する前に、まずは「認証」について正しく理解しておきましょう。認証には3つの要素があります。

1. 知識情報:「対象が知っていること」

パスワードやPINコード、秘密の質問などが例として挙げられます。
よく耳にするPINコード(Personal Identification Number)は、個人を識別するための番号です。主として携帯電話やスマートフォンで、端末の盗難・紛失に際し、第三者による無断使用を防ぐために使われてきました。また、SIMカードを端末に挿入する時や、電源をオンにした際に入力を要求することで、端末の不正利用を防止しています。

2. 生体情報:「対象の特徴」

指紋認証や声紋、顔認証などが挙げられます。

生体認証については、こちらの記事で詳しく解説しております。
パスワードレス認証で注目される「FIDO2」とは?
生体認証の種類はいくつ?それぞれのメリットと問題点を解説

3. 所持情報:「対象がもっているもの」

身分証明書や携帯電話などが該当します。

多要素認証とは、これら3要素のうち、2つ以上を組み合わせて認証する方式です。個人情報の漏洩や、ハッキングによるシステムからのパスワード流出があった場合を考えましょう。例えば、知識情報に属する「パスワード」と「PINコード」の2つが同時に漏れてしまったとします。この際に、認証の1要素だけで認証しているため、ハッカーの被害を受ける可能性が非常に高くなります。実際に、パスワードを盗まれることで発生しているハッキングは、全体の80%に達しており、危険性が高いです。
しかし、多要素認証を導入することで、異なる2つ以上の要素を利用して、認証することになります。その結果、上記のリスクを大きく低減することができます。

認証については、こちらの記事で詳しく解説しています。
認証と認可の違いとは|セキュリティの強化について説明します

多要素認証の普及状況と活用、課題

普及状況

現在、インターネットサービス事業者の20%ほどが「多要素認証」や「リスクベース認証(アクセスログからユーザーの行動パターンを分析し、より確実に本人認証を行うための方式)」などを用いた複合的な認証を実施していると回答しています。今後、多要素認証は、単純な認証方式に比べてますます活用される傾向が見られます。特にスマートフォンの普及により、SMS認証や顔認証、指紋認証を利用しやすくなったことで、多要素認証を普及させる契機になっています。

参照『インターネットサービス提供事業者に対する 「認証方法」 に関するアンケート調査結果報告書

多要素認証の課題

多要素認証を導入するためには、デバイスのコスト初期設定の手間教育コストなどが課題になります。また、ランニングコストや無効化手順のような紛失時のセキュリティ、利便性も考慮する必要があります。しかしながら、少ないコストで実現できる可能性もあります。例えば、社員証としてICカードを既に導入されている企業の場合、ICカードリーダーのコストは要するものの、カード自体が転用可能なのでコストが安く抑えられます。

多要素認証を可能にするデバイス

前述の通り、スマートフォンは多要素認証を可能にする、最も手軽なデバイスですが、他にも多くの種類があります。例えば、ICカードリーダーが挙げられます。さらに、物理デバイスのタイプとして、キーホルダー型のワンタイムパスワード表示器、ICカード、Bluetoothなどがあります。

安全面では、多要素認証によって、IDの不正利用のリスクを大幅に低減させることができます。そのため、強力なパスワード設定と併せて、多要素認証を使用することが強く奨励されています。

多要素認証と多段階認証は全く異なるもの

多要素認証」と似た用語で「多段階認証」という認証方式がありますが、全く異なる方法です。

「多要素認証」はこれまでに見てきたように、複数の要素を組み合わせることで、1つが不正に利用されたとしても、他の要素が突破されなければアカウントをハッキングされない認証方式です。こうした仕組みにより、認証の精度と安全性を高め、情報への不正アクセスや悪質ななりすましを防止します。

これに対して「多段階認証」は認証を複数の段階に分けて認証する方式です。例えば、「PINコード+秘密の質問」や「顔認証+静脈認証」などです。どちらも同じ認証要素を用いており、2回(多段階)に分けて認証することで安全性を高めています。もちろん「多要素認証」と「多段階認証」の複合形もあります。

多要素認証は単純な認証方式に比べてセキュリティレベルが高まる

多要素認証は「知識情報」「所有情報」「生体情報」の異なる要素を組み合わせて認証する方式です。スマートフォンは普及率も高く、誰でも簡単に利用できる多要素認証のデバイスです。こうした端末の普及を背景に、優れた安全性と相まって、多要素認証はますます認証方式のスタンダードになると予測されます。さらに、単純な認証方式では補うことができない数々のセキュリティ上の課題を解決することができます。また、生体認証の技術も著しく進化しており、利便性も向上しています。今後、多要素認証サービスを検討する際には、セキュリティ強化だけでなく、ユーザーの利便性、コストなども考慮し、自社に合ったサービスを選ぶとよいでしょう。

事業・商品・サービスに関するお問い合わせ

製品に関するお問い合わせはこちら
※フリーメールでのお問い合わせは受け付けておりません。
必須
必須
必須
必須
必須
必須
必須

関連記事