多要素認証
一般に「TOTP」や「電話発信による認証」、「IDカード」など、認証を行う人物などが所有しているものを使った認証がこの要素に該当する。
鍵という考え方は古くからあるが、コンピュータシステムではセキュリティトークンとして扱われる。ワンタイムパスワード生成器や、予め登録した携帯電話等によるSMS認証も、この要素に属する。パスワードも記憶せず何かにメモしていればこの要素に属する。乱数表等(TANを含む)も(全て記憶する事が困難なので)同様である。トークンにはシステムへ接続するか否かで、接続型と非接続型がある。
所持情報は、複製または盗まれると認証の前提が崩れる。
所持情報は、複製耐性によりセキュリティレベルが変化する。一般的に、所持情報に接触できればそれを盗む事は容易である。ハードウェアトークンによるワンタイムパスワード生成器やICカードは、一般的に複製困難と考えられている。ソフトウェアトークンは容易に複製される場合もある。パスワードのメモや乱数表等は、カメラで撮影するだけで取得可能である。磁気カードはスキミングだけで取得できる。非接続型のトークンで、ワンタイムパスワードなどのように一旦表示して認証装置に入力する必要があるもの等は、その際の盗見、盗聴が容易である。