多要素認証（MFA）の 3 つの要素とは？

多要素認証の 3 つの要素は、公開された証拠がインターネットインフラストラクチャ、ガバナンス、運用依存関係、または市場の可視性に関連しているため、BTW Media によってプロファイリングされています。

• 多要素認証（MFA）は、アプリケーションやシステムへのアクセス時に、少なくとも 2 つの確認要素を提供して身元を証明することを要求するセキュリティ対策です。
• 多要素認証（MFA）の 3 つの要素は、知識要素、所有要素、固有性要素です。
• これらの要素は互いに独立しているため、1 つの方法が侵害されても他の方法は安全に保たれます。MFA は複数の保護層を提供するため、堅牢なセキュリティ戦略の重要な要素です。

多要素認証（MFA）は、アカウントアクセスのセキュリティ方式で、ユーザーがログインする際に 2 つ以上の方法で本人確認を行うものです。この方法は、通常パスワードのみの従来の方法よりはるかに安全です。

MFA は、ユーザーに追加の本人確認を求めることでこのリスクを排除します。つまり、仮にハッカーがユーザーのパスワードを発見しても、アカウントは 2 つ目のセキュリティ層で保護されているためアクセスできません。MFA で使用される主な確認方法は 3 つあり、ユーザーがログイン情報を入力した後に適用されます。それらは、ユーザーが知っているもの（知識）、所有しているもの（所有）、またはユーザー自身（固有性）に関係します。

知識要素

知識ベース認証（KBA）は、ユーザーの知識を利用する最初の認証タイプです。PIN コード、バックアップパスワード、秘密の質問への回答などが該当します。通常、アカウント作成時に秘密の質問とその事前定義された回答が設定されます。また、パスワードを忘れた場合にユーザーの身元を確認し、アカウント回復を支援するためにもよく使用されます。

静的 KBA は動的 KBA よりも安全性が低くなります。この認証方式の秘密の質問は、クレジット取引のような頻繁に更新されるデータからリアルタイムで生成されます。ハッカーが質問が生成されるデータベースにアクセスする必要があるため、回答を特定するのがより困難になります。静的 KBA では、ハッカーはユーザーのペットの名前を知るだけで済むかもしれません。

こちらもお読みください：Jeff Weiner とは？LinkedIn の元 CEO が体現する「思いやりのあるマネジメント」

所有要素

ユーザーの所有物を使用するのが 2 番目の認証方法です。鍵やスマートカードなど、ユーザーが場所に入るための物理的な物体が該当します。デジタル分野では、通常ワンタイムパスワード（OTP）を生成するトークンです。以下に所有要素の 3 つの例を示します。

1. メールと SMS の確認コード

SMS やメールで送信される確認コードは、おそらく最も普及している認証形式です。残念ながら、これらは所有要素の中でも最も安全性が低く、悪意のある攻撃者に傍受される可能性があります。モバイルネットワークやメールボックスを標的とした攻撃は、考えられているよりも簡単に実行できます。

2. 時間ベースのワンタイムパスワード（TOTP）

TOTP は概念的にメールや SMS の確認コードと似ていますが、実際にはより安全です。その理由は 2 つあります。コードがユーザーの所有するデバイス上で直接生成されること、そしてコードに厳格な有効期限が設定されていることです。

第三者のネットワークが関与せず、非常に短い時間枠のため、侵害の可能性ははるかに低くなります。

3. プッシュ通知

プッシュ通知は TOTP のより高度なバージョンで、JumpCloud Protect などのモバイルアプリで簡単に実装できます。一時コードを入力する代わりに、ユーザーは自分のスマートフォンで直接生成された認証要求を承認するだけです。

この要素はボタンをタップするだけの簡単さで、TOTP よりも優れたユーザーエクスペリエンスを提供します。さらに、プッシュ通知による MFA は、ユーザーが自分のスマートフォンで PIN コード、指紋、または顔認証を使って認証することを要求することで、別のセキュリティ要素をシームレスに統合します。

こちらもお読みください：Julia Hartz とは？Eventbrite の CEO が 4 年で 10 億ドル企業を創設

固有性要素

生体認証は、ユーザー自身に基づくものです。これはハッカーにとって盗むのが最も難しいデータであるため、最も安全な認証方法です。

行動的生体認証とは異なり、身体的生体認証はユーザーが変更できず、デバイスに依存しません。身体的生体認証要素には、指紋、顔認識、音声認識、虹彩や網膜スキャンが含まれます。

認証の文脈では、最も一般的な生体認証要素はもちろん指紋です。技術的にはこの要素を偽造することは可能ですが、多大な労力を要し、指紋スキャナーの技術は継続的に向上しています。特に他の要素と組み合わせる場合、指紋は一般的に非常に安全な認証形式と見なされています。

これらの各認証方法には長所と短所があり、ある業界には他の業界よりも適しているものがあります。例えば、SMS トークン認証は多数のユーザーに簡単に実装でき、ほぼすべての人に適していますが、生体認証のような安全性は提供しません。最も安全な認証形式は生体認証ですが、それは企業が従業員の個人データを保護するためにより厳格なセキュリティプロトコルを導入する必要があることも意味します。自社が直面するセキュリティの脅威を考慮し、その知識を活用してネットワークを保護するために必要な MFA のレベルを決定する必要があります。