こんにちは、ソリューションSecの井上です。

さてさてすっかり暖かくなり、井上のブログの季節がやってきました。（ブログの季節とは？）
ではキュウリやナス、ピスタチオの殻にもキチン質・キトサンが含まれることでも…
えっ？　たまには技術的なことも書いてみるのはどうか？

…

では、多要素認証について少し書いていきましょう。

============================================
①多要素認証
============================================
多要素認証（MFA：Multi-Factor Authentication）とは、システムやサービスにログインする際に、複数の異なる要素を組み合わせて本人確認を行う認証方式のことです。
昨今ではパスワード使いまわしやフィッシング攻撃、情報漏洩などによって単一の認証では安全性が不十分になっている現状があります。

多要素認証は従来のIDとパスワードだけに依存した認証に比べて、セキュリティを大幅に強化できる点が特徴です。
主に「知識要素」「所持要素」「生体要素」の3種類の内、2種類以上が用いられます。
============================================

============================================
②多要素認証と二段階認証の違い
============================================
では正直なところ、パスワードの桁数を増やしたり、自分しか分からない秘密の質問を設けたりすることとは何が違うのでしょうか？
「パスワードの桁数を増やす」というのは単一要素だけでの認証です。
「自分しか分からない秘密の質問を設けけること」は2段階認証の内の多要素ではない認証になります。

——————————————-
●単一要素だけでの認証
パスワードの桁数が増えた場合、2桁より4桁、4桁より10桁の方がパスワードは突破されにくくなります。
しかし逆に言えば、パスワードが第三者に知られたり突破されてしまった場合は、不正ログインできてしまいます。

——————————————-
●多要素ではない2段階認証
2段階認証の中にも多要素認証はありますが、上記”秘密の質問”の件は多要素では無い認証になります。
2回に分けて認証を行っているので安全性は高まっていますが、”パスワード”も”秘密の質問”も両方「知識要素」に当たります。
同じ要素での認証となる為、多要素認証したことにはなりません。
——————————————-
============================================

============================================
③「所持要素」「生体要素」を含めた多要素認証とは
============================================
では所持要素や生態要素とは何でしょうか

——————————————-
●「所持要素」とは
所持認証とはユーザーが所持しているものを使って認証を行うことです。
自分の財布から免許証を取り出して見せる様なイメージですね。

例として、自分の持っているスマホにワンタイムパスコードを連絡し、認証に用います。
そもそも自分の手元にあるスマホを使うので、安全性はかなり高いです。

——————————————-
●「生体要素」とは
生体認証とは自分の体の一部を使って認証を行うことです。
読んで字のごとく、指紋認証や顔認証などのことです。

例として、PCのカメラで自分の顔を映して、初回登録した本人の顔と一致するかで認証を行います。
——————————————-

「知識要素」「所持要素」「生体要素」の3つの異なる認証を組み合わせることで、不正ログインのリスクはより低減されます。
パスワードを複雑にし・スマホへのワンタイムパスコードを用い・顔認証も行えば流石に本人以外がログインできるケースは少ないでしょう。
============================================

============================================
④パワープレイではなく2重3重の防壁へ
============================================
不正アクセスも進化・変化していっている世の中において、パスワードの桁数を際限無く増やすことには限界があります。
弊社でも多要素認証を取り入れていますが、導入前や自宅のPCの設定をどうしていたでしょうか。

正直なところ、自分は今まで小技(パワープレイ)で乗り切ってきました。
・パスワード：半角全角数字を混ぜた8桁～16桁のランダム文字(暗記)
・パスワードを打つ時にわざと2～3個順番を変えて打ち込み、切り取り・貼り付けで最終調整をする
┗キーボードの打ち込み順を覚えられても大丈夫
・秘密の質問の答えを全然関係無い・自分にしか分からないものにする
┗例1：最初に見た映画は？＝”▲8と20の公約数は1と4▲後一つは何でしょうか？●答えは★2★です。▲”
┗例2：好きな食べ物は？＝”iwaタイpe 技 are 効ka抜群 mushi-tyプ.”

こんなパワープレイをしなくても、3つの要素を組み合わせて2重・3重の防壁を張れる様になったと考えると、良い時代になったものです。
他にもPINの設定で短いパスワードにできたり、本人確認さえとれていればログイン時のパスワードを無しにできたり、まだまだこの技術も進化・連携が進んでいます。
こういった流れにもアンテナを張っていこう思いました。

============================================