多要素認証とは？二要素認証や二段階認証との違い、注意点などを解説

多要素認証とは

多要素認証とは、認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上の異なる要素を使って認証する方法のことです。英語の頭文字を取って「MFA（Multi-Factor Authentication）」と呼ばれることもあります。

• 知識情報
  IDやパスワード、電話番号、生年月日、秘密の質問、暗証番号など、本人だけが知っている情報のこと。
• 所持情報
  スマートフォンやICカード、ワンタイムパスワードのトークンなど、本人が所有している「モノ」に頼った情報のこと。
• 生体情報
  指紋や静脈、声紋、虹彩、顔など、本人の身体的特徴を使った情報のこと。

従来はIDとパスワードという知識情報だけを使った認証が主流でした。しかし知識情報は、情報を入手すれば本人以外でも認証を突破できてしまうためセキュリティリスクがあります。そのため、所持情報や生体情報と組み合わせて本人の認証であるとし、確実性を高める「多要素認証」が登場しました。

多要素認証と二要素認証、二段階認証の違い

多要素認証と似た方式に、二要素認証や二段階認証があります。多要素認証との違いについて解説します。

二要素認証と多要素認証の違い

二要素認証とは、上記の認証3要素「知識情報」「所持情報」「生体情報」のうち、どれか2つの要素を組み合わせて行う認証のことです。多要素認証の一種といえるでしょう。例えば、IDとパスワードで認証を行った後、スマートフォンでデバイス認証を行うといった場合が該当します。

二段階認証と多要素認証の違い

二段階認証とは、要素の組み合わせにかかわらず認証を2回（2段階）行う方式です。例えば、IDとパスワードで認証を行った後、秘密の質問に答えて認証を行う、といった場合は二段階認証ですが、要素としては知識情報の1つしか使っていません。

多くのサービスでは、二段階認証を導入している場合、二要素認証も兼ねています。

多要素認証が必要な背景

前述のとおり、従来のID・パスワード認証のような知識情報のみを用いた認証だと、サイバー攻撃の増加や、パスワード使い回しによる情報漏洩の問題が起こりやすくなります。誰でも認証を突破できてしまうためセキュリティレベルが低く、近年見られる以下のような状況に対応しきれなくなっているのです。

• クラウドサービスの利用増加
  クラウドサービスの普及、感染症対策や働き方改革などに伴うテレワークの増加により、社外で業務を行う場合のセキュリティレベルに不安が残ります。
• 管理アカウントの増加
  近年、クラウドサービスを始め、インターネットを介してさまざまなサービスやアプリケーションを使います。これらのサービスやアカウントを利用する際には、アカウントごとにIDやパスワードを設定しなくてはならず、ユーザー側の負担も大きくなっています。パスワードの使い回しがよく問題になっていますが、このように知識情報だけに頼った認証では簡単に突破されてしまいやすいのです。

また、セキュリティレベルの不安が高まっている別の理由として、サイバー攻撃の増加も挙げられます。総務省によれば、サイバー攻撃関連の通信数は2021年に約5,180億パケットとわかっており、2018年から3年間で約2.4倍に増えています。不正アクセス禁止法違反の検挙件数は徐々に減ってきてはいるものの、依然として年間400件以上が検挙されているのが現状です。

^{参考：総務省｜令和4年版 情報通信白書｜データ集（第3章第7節）}

多要素認証のメリット・デメリット

ここでは、多要素認証のメリット・デメリットを解説します。

メリット

多要素認証のメリットとして、セキュリティを強化できることと、ユーザーのパスワード管理の負担を軽減できることの2点が挙げられます。

• セキュリティ強化
  多要素認証によって、セキュリティレベルを強化できます。従来のようにIDとパスワードだけの知識情報に頼った認証では、悪意ある第三者によって情報を盗み取られてしまった場合、簡単に認証を突破されてしまいます。しかし、所有情報や生体情報と組み合わせた多要素認証を取り入れていれば、知識情報だけでは認証を突破されません。所有情報や生体情報は知識情報よりも圧倒的に盗難されにくく、知識情報に比べてそもそもセキュリティレベルが高いというメリットもあります。
• パスワード管理の負担軽減
  前述のように、管理アカウントが増加するにつれてパスワード管理が難しくなり、パスワードの使い回しや推測しやすいパスワードを設定してしまうユーザーは少なくありません。その情報が流出してしまうと、不正ログインされたり悪用されたりする可能性が高くなります。そのため、知識情報のみの認証ではパスワードを定期的に更新し、適切に管理することが推奨されますが、これもやはりユーザーの管理負担が増える一因です。多要素認証の所有情報や生体情報を使えば、知識情報を増やしたり更新したりする手間なくセキュリティレベルを高められます。

デメリット

多要素認証のデメリットとして、導入する側のコストが増えることと、ユーザーの利便性が下がることの2点が挙げられます。

• 導入コストがかかる
  多要素認証を導入する場合、それぞれの要素に合わせた認証方法を用意するため、1要素だけの場合に比べコストがかかります。特に生体認証を導入する場合、認証のための機器が必要です。
• ユーザーの利便性が下がる
  多要素認証はユーザーのパスワード管理の負荷を下げるものの、何段階もの認証を突破する必要があり、認証の手間がかかります。

多要素認証を運用する際の注意点

最後に、多要素認証を運用する際の注意点を3つ紹介します。

ログイン状態を維持し続けない

使う端末やアプリケーションによっては、ログイン状態を維持し続けることがあります。しかし、ログイン状態を維持したままだと、悪意のある第三者が端末を使った際、認証をしなくても機密情報などにアクセスできてしまいます。多要素認証の意味をなさなくなるため、デバイスをシャットダウンする際や、アプリケーション利用後には必ずログアウトされるよう設定しましょう。

デバイスの使い回しを防ぐ

多要素認証を突破するために用いられる所有情報も、知識情報よりは盗まれにくいものの、生体認証とは異なり、貸し借りしようと思えばできないものではありません。安易にスマートフォンやパソコンを貸し借りしないことが重要です。

セキュリティ対策を多要素認証だけに頼らない

セキュリティリスクは、認証部分にだけ存在するわけではありません。サーバーが直接サイバー攻撃を受ける、マルウェアによる感染などもセキュリティリスクとして存在します。そのため、ゼロトラストの考え方に基づいて多要素認証以外にもセキュリティ対策を行い、セキュリティレベルを高めることが重要です。

ゼロトラストについて詳しくは、以下の記事をご参照ください。

関連記事

ゼロトラストとは？メリットやデメリット、実現するためのポイントを紹介

多要素認証でセキュリティレベルを高めよう

多要素認証は、従来のID・パスワードだけの知識情報に頼った認証に比べ、高いセキュリティレベルが期待できます。所有情報や生体情報は盗み見ることが難しく、知識情報のように更新する手間もかからないため、セキュリティレベルを高めながらユーザーの負担を軽減できるでしょう。ただし、運用の際はログイン状態や所有情報の管理、そのほかのセキュリティ対策に注意する必要があります。

多要素認証を使えば、テレワークやリモートワークの際に不安が残りがちな、認証におけるセキュリティレベルを高く保つことができます。「CACHATTO SecureConetainer」でのリモートアクセスなら、多要素認証でセキュアな環境での業務を実現できます。業務データは、PC上に生成される隔離領域を用いて作業することで保護されます。テレワークやリモートワーク導入の際に認証のセキュリティが心配な場合は、ぜひ一度ご検討ください。