多要素認証
各種サービスにおいて、スマートフォンが持つ生体認証(生体情報)機能(Android 生体認証システムや Apple Touch ID/Face ID )と他の何かを組み合わせた二要素認証の普及が進んでいる。
認証のため新たに何か(セキュリティトークンなど)を所持することは、紛失や盗難の危険、加えてその管理自体にコストが掛かるという問題がある。しかし携帯電話・スマートフォンを認証機構に組み入れれば、追加で専用機を持つ必要がなくなり、肌身離さず持ち歩きやすい。ただし実際に盗難にあってしまうとより大きな被害に遭う可能性ができてしまう。
一般に「暗証番号(PIN)」や「パスワード」など、認証を行う人物などが認証情報を記憶する形式がこの要素に該当する。人の個人的経験に基づいた記憶情報(知識情報)として、合言葉がある。
この要素は、属人的なもっとも基本的な認証と考えられている。最も一般的に使われる要素で、認証のためにユーザーはある秘密を知っていることを証明する。ほとんどの多要素認証は、要素の一つにこれを使う。人の記憶に頼るため、情報の複雑さには限界がある。またしばしば忘れられて、権限再発行手続が必要となる。
記憶情報(知識情報)は、他人に知られた時点で認証の前提が崩れる。これには、ユーザ自身が同一の情報(パスワード等)を他の認証システムへ登録した場合も含む(ユーザ自身と認証システムAに加え、認証システムBが情報を共有している。いわゆるパスワードの使い廻し)。
記憶情報(知識情報)は、人の記憶によるため複製耐性は最も高い(複製は最も難しい)と考えられている。ユーザ本人から盗む事については、本人を脅迫しない限り困難である。認証デバイスへの入力が必須なため、その際の盗見・盗聴は一般的に容易である。
予め登録したメールアドレスにワンタイムパスワードを送信する方式は、基本的にはこの要素に属する(メールアドレスの受信にメールパスワードを使用するため)。