多要素認証

多要素認証は、アクセス権限を得るのに必要な本人確認のための複数の種類の要素をユーザーに要求する認証方式である。

必要な要素が二つの場合は、二要素認証、二段階認証とも呼ばれる。

1. 認証に使う要素
----------

多要素認証に使われる要素には、以下のようなものがある。規定の複数の要素を満たしたユーザーを「本人である」と認証するもの。ここで要素数が1点になってしまうと、多要素認証の前提が崩れる。

いずれの要素も、本人だけに属する属性でなければならない。例えばパスワード等は本人だけが知っていなければならず、他人に教え、あるいは知られた時点で認証の前提が崩れる。いずれの要素も、認証の前提が崩れた場合、速やかに権限を停止する必要がある。

多要素認証は、認証が行われるタイミングについては規定しない。複数の認証は同時に行われる場合もあれば、段階を踏んで行われる場合もある。

多要素認証は、パスワードクラックなどに対しては強いが、フィッシングや中間者攻撃などに対しては無防備である。

以下、要素名は、総務省、情報処理推進機構、および国内で一般に用いられている用語を用いる。

1.1. 記憶情報
---------

一般に「暗証番号」や「パスワード」など、認証を行う人物などが認証情報を記憶する形式がこの要素に該当する。人の個人的経験に基づいた記憶情報として、合言葉がある。

この要素は、属人的なもっとも基本的な認証と考えられている。最も一般的に使われる要素で、認証のためにユーザーはある秘密を知っていることを証明する。ほとんどの多要素認証は、要素の一つにこれを使う。人の記憶に頼るため、情報の複雑さには限界がある。またしばしば忘れられて、権限再発行手続が必要となる。

記憶情報は、他人に知られた時点で認証の前提が崩れる。これには、ユーザ自身が同一の情報を他の認証システムへ登録した場合も含む。

記憶情報は、人の記憶によるため複製耐性は最も高いと考えられている。ユーザ本人から盗む事については、本人を脅迫しない限り困難である。認証デバイスへの入力が必須なため、その際の盗見・盗聴は一般的に容易である。

予め登録したメールアドレスにワンタイムパスワードを送信する方式は、基本的にはこの要素に属する。

1.2. 所持情報
---------

一般に「TOTP」や「電話発信による認証」､「IDカード」など、認証を行う人物などが所有しているものを使った認証がこの要素に該当する。

鍵という考え方は古くからあるが、コンピュータシステムではセキュリティトークンとして扱われる。ワンタイムパスワード生成器や、予め登録した携帯電話等によるSMS認証も、この要素に属する。パスワードも記憶せず何かにメモしていればこの要素に属する。乱数表等も同様である。トークンにはシステムへ接続するか否かで、接続型と非接続型がある。

所持情報は、複製または盗まれると認証の前提が崩れる。

所持情報は、複製耐性によりセキュリティレベルが変化する。一般的に、所持情報に接触できればそれを盗む事は容易である。ハードウェアトークンによるワンタイムパスワード生成器やICカードは、一般的に複製困難と考えられている。ソフトウェアトークンは容易に複製される場合もある。パスワードのメモや乱数表等は、カメラで撮影するだけで取得可能である。磁気カードはスキミングだけで取得できる。非接続型のトークンで、ワンタイムパスワードなどのように一旦表示して認証装置に入力する必要があるもの等は、その際の盗見、盗聴が容易である。

1.3. 生体情報
---------

一般に「指紋認証」「顔認証」「網膜認証」など、認証を行う人物の身体的特徴を利用した認証がこの要素に該当する。

指紋や虹彩、声紋などの生物学的な要素でユーザー本人を生体認証する。タイピング認証も一種の生体認証である。一長一短はあるが、比較的信頼度が高いと考えられている一方で、誤認識の確率も一定程度残る。

生体情報は、複製されにくいが、複製された場合には認証の前提が崩れる。

生体情報は、その種類により複製耐性が異なる。音声や外貌、身体認証は複製が容易なため複製検知技術が重要となる。指紋、網膜、虹彩、血管や体臭認証も、複製できる場合もある。盗む事については、本人に強要しない限り困難である。仕組み上、生体認証は盗見、盗聴はほぼ不可能である。

2. 二段階認証
--------

多要素認証における二段階認証、2ステップ認証とは、一般的にパスワードやPINなど「記憶情報」と、もう1つの別の要素を組み合わせたものである。まず最初にパスワード等で認証し、その後に別の要素により認証するというように、段階を踏むため、二段階認証と称する。3つ以上の段階に渡る場合は多段階認証と言う。

多要素認証における二段階認証での2つ目の要素には、オフラインでユーザー宛に送付された情報や、ソフトウェアトークンなどが一般的に使われる。携帯電話等へのSMS認証も同様である。

なお、本表現は「段階」に着目したものである。多段階認証であっても必ずしも多要素認証ではない場合がある。多段階で認証しても用いる要素が「記憶情報」のみであれば、それは1要素の認証である。

3. 事例
-----

3.1. 金融機関
---------

3.1.1. ATM
----------

ATMでは、「所持情報」であるキャッシュカードと、「記憶情報」である暗証番号を用いる。

2000年代以降はICキャッシュカードに「生体情報」を登録し、ATM取引の第三の要素として使用する金融機関が増加したが、顧客利便性の悪さや金融機関のコスト負担の事情から、2020年代に入り、ICキャッシュカードによる生体認証を取り止めたり、「スマホATM」へ移行する動きがある。

3.1.2. インターネットバンキング
-------------------

インターネットバンキングでは、残高照会等の場合はパスワードのみ、振込等の資金決済を伴う場面ではワンタイムパスワードや生体情報を加えた多要素認証とし、セキュリティと利便性のバランスを取った運用を行なっている。

2022年以降、SIMスワップ詐欺によって電話番号を窃取され、ワンタイムパスワードを盗んだ上で不正送金する犯罪が発生している。

3.1.3. モバイル決済、QRコード決済
---------------------

モバイル決済、QRコード決済では、金融機関口座は決済元やチャージ元として当該決済サービスとひも付けられる。モバイル決済、QRコード決済自体はSMS認証と生体情報を用いた比較的安全とされる仕様だが、その前段階の「連携」では支店番号・口座番号とキャッシュカード暗証番号のみで認証していた金融機関が多かった。2020年9月、NTTドコモの「ドコモ口座」に端を発した一連の不正出金事件では、その点を突かれ、多数の被害が発生した。

上記事件の後、2020年12月、金融庁は銀行口座とコード決済サービスの連携に関する認証仕様を調査・公表した。調査では3割の金融機関が連携で多要素認証を導入していないことが判明。金融庁はそれら金融機関に対して、2020年度中に多要素認証の導入を義務付ける方針。

3.2. パソコンにおける二要素認証
------------------

旧来はパスワードのみによる一要素認証が主流であったが、ネットワークにおける使用ではパスワード漏洩や使い回し、ハッシュの高速解読など種々の問題が生じたため、2010年代後半から、使用するコンピュータだけに属するとPINの組み合わせが主流となり始めている。ネットワークにおいてパスワードだけの一要素認証は、安全性が低いものと見られ始めている。更に、Windows Hello や Touch ID など生体情報も普及が進んでいる。

3.3. スマートフォンを用いた二要素認証
---------------------

各種サービスにおいて、スマートフォンが持つ生体認証機能と他の何かを組み合わせた二要素認証の普及が進んでいる。

認証のため新たに何かを所持することは、紛失や盗難の危険、加えてその管理自体にコストが掛かるという問題がある。しかし携帯電話・スマートフォンを認証機構に組み入れれば、追加で専用機を持つ必要がなくなり、肌身離さず持ち歩きやすい。ただし実際に盗難にあってしまうとより大きな被害に遭う可能性ができてしまう。

3.4. ウェブブラウザ
------------

ウェブブラウザではW3C Web Authenticationにて生体認証や外部セキュリティキーなどによる多要素認証に対応している。主要なウェブブラウザはWeb Authenticationに対応している。例えばYahoo! JAPANで使用されている。

3.5. インターネットサービス
----------------

2022年以降、各種インターネットサービスでは、パスキーの採用が増えている。これは、所持情報と生体情報を使った二要素認証である。

3.6. マイナンバーカード
--------------

マイナンバーカードは、ICチップ内に持つ電子証明書を用いて、マイナポータルにおける各種手続きや情報閲覧、公的個人認証サービス、e-Tax等の政府系サービス、マイナ保険証等、多くの用途がある。電子証明書の読み取りには暗証番号が必須であり、カード自体と暗証番号の二要素認証を実現している。マイナ保険証で顔認証を用いる場合は、暗証番号に代えて生体認証となる。マイナンバーカードが持つ電子証明書は、2023年5月よりスマートフォンへ搭載が可能となった。これを利用する場合は、所持情報はカード自体に代えて当該スマートフォンとなる。

例外として、マイナンバーカードのICチップ空き領域については、暗証番号無しでの情報読み書きが認められている。地方自治体等において、比較的高いセキュリティを要しないサービスに用いられている。

3.7. 地方自治体
----------

2015年に総務省が行った「自治体情報セキュリティ強化対策事業」により、自治体が使用するマイナンバー関連システムに二段階認証が導入された。これは、同年に日本年金機構で起こった「年金管理システムサイバー攻撃問題」を考慮したもの。これに伴い、補助金として233億4,588万円が46都道府県に交付された。

2020年1月の会計検査院の調査報告によると、対象の217の市区町村のうち、12の自治体で二要素認証を導入していないマイナンバー利用端末があった。平成31年3月末時点で、2市区町村ではすでに導入され、3市区町村では令和元年度、3市区町村では令和二年度に導入予定としている。しかし、2市区町村では入退室管理がされたサーバ室で使用される限られた端末は一要素で認証できるようにしていた。

4. 多要素認証まとめ
-----------



5. 関連項目
-------

アイデンティティ管理
FIDO 

6. 脚注
-----

6.1. 注釈
-------

6.2. 出典
-------

7. 外部リンク
--------

[1]en}} 
[2]en}} 
[3]
[4]、マ社はWindows 更新版でパスワード廃止と2要素認証システム採用に向かうかen}}