多要素認証（MFA）とは？

What is multi-factor authentication? は、公開証拠がインターネットインフラストラクチャ、ガバナンス、運用上の依存関係、または市場での認知度に関連付けているため、BTW Media によってプロファイルされています。

• 多要素認証（MFA）は、システムやアプリケーションにアクセスするために、2 つ以上の認証要素をユーザーに要求するセキュリティ方式です。
• これらの要素には、一般的に、ユーザーが知っているもの（パスワードなど）、ユーザーが持っているもの（スマートフォンやセキュリティトークンなど）、ユーザー自身（指紋や顔認証など）が含まれます。
• MFA は、不正アクセスを防ぐために追加のセキュリティ層を提供します。たとえ 1 つの要素が侵害されても、攻撃者は追加の認証方法を突破しなければならないからです。

多要素認証（MFA）は、アプリケーションやオンラインアカウントなどのリソースにアクセスするために、2 つ以上の認証要素を提示することをユーザーに要求する認証プロセスです。これは、堅牢な ID 管理およびアクセス管理（IAM）戦略の基本的な側面です。

多要素認証とは何ですか？

多要素認証は、データとアプリケーションを保護するための多層的なセキュリティアプローチであり、システムはログイン時にユーザーに 2 つ以上の認証情報の組み合わせを提示させ、本人確認を行います。MFA はセキュリティを強化します。なぜなら、たとえ 1 つの認証情報が侵害されても、不正なユーザーは 2 つ目の認証要件を満たすことができず、対象の物理スペース、コンピューティングデバイス、ネットワーク、またはデータベースにアクセスできないからです。

認証要素は通常、3 つのカテゴリに分類されます。

第 1 のカテゴリは、ユーザーが知っているものです。これには、パスワード、PIN コード、セキュリティ質問などの従来の識別情報が含まれます。ユーザーはこれらの情報を入力して本人確認を行います。

第 2 は、ユーザーが持っているものです。これは、スマートフォン、セキュリティトークン、スマートカードなどの物理デバイスやトークンの所有を意味します。ユーザーは、処理を続行するためにこのアイテムを提示または認証する必要があります。

第 3 は、ユーザー自身です。これには、指紋、顔認証、虹彩スキャンなどの生体認証情報が含まれます。これらの固有の生物学的情報は、ユーザーの本人確認に使用されます。

関連記事:「モノのインターネット」を保護する方法は？

多要素認証はどのように機能しますか？

認証プロセスは、ユーザーがユーザー名または ID を提供して、システム、アプリケーション、またはオンラインサービスにアクセスしようとするところから始まります。ユーザー名または ID が提供されると、ユーザーは最初の認証要素の入力を求められます。最初の要素は、通常、ユーザーが知っているもの、たとえばパスワード、PIN コード、パスフレーズ、またはセキュリティ質問への回答などです。この最初の認証要素は、最初のセキュリティ層として機能し、ユーザーがシステムにアクセスするための正しい認証情報を持っていることを確認します。

最初の要素の検証が成功した後、ユーザーは 2 つ目の認証要素を提供するよう求められます。2 つ目の要素は、ユーザーが持っているものまたはユーザー自身であるものを提示することを要求することで、追加のセキュリティ層を追加します。この追加要素は、ワンタイムコード（OTP）、生体認証方法、物理デバイスやトークンの所有など、さまざまな形式をとることができます。ユーザーは、ログインプロセスを続行するために、この 2 つ目の要素を正常に提示または認証する必要があります。

両方の認証要素が正常に検証されると、システムまたはアプリケーションへのアクセスが許可されます。その後、ユーザーはシステムに安全にログインし、許可されたアクションを実行したり、保護されたリソースにアクセスしたりできます。ただし、いずれかの認証要素がユーザーの本人確認に失敗した場合、アクセスは拒否され、追加の認証試行が必要になることがあります。

関連記事:サイバーセキュリティリスク管理とは何ですか？

多要素認証の一般的なタイプ

知識ベースの認証は、ユーザーが知っているもの（パスワード、PIN コード、セキュリティ質問など）に依存します。ユーザーはログインプロセス中に認証情報を入力して本人確認を行います。知識ベースの認証は最も伝統的な方法の 1 つですが、パスワード盗難やフィッシング攻撃などの脅威に対して脆弱です。

所持ベースの認証は、ユーザーが持っているもの（スマートフォン、セキュリティトークン、スマートカードなど）を含みます。ユーザーは本人確認のために物理デバイスまたはトークンを所有する必要があります。一般的な方法には、SMS で送信されるか認証アプリで生成されるワンタイムコード（OTP）、各ログイン試行ごとに一意のコードを生成するハードウェアトークンなどがあります。

生体認証は、指紋、顔の特徴、虹彩パターンなど、ユーザー固有の生物学的情報を使用して本人確認を行います。ユーザーは、指紋スキャナー、顔認識システム、虹彩スキャナーなどのデバイスを介して生体データを提供するよう求められます。

位置情報ベースの認証は、ユーザーの物理的な位置に基づいて本人確認を行います。この方法は、ユーザーのデバイスからの位置情報データを使用して、特定の場所にいることを確認します。

関連記事:WSO2 Identity Server とは何ですか？

時間ベースの認証は、認証試行の時刻に基づいてユーザーの本人確認を行います。ユーザーは、特定の期間（通常数分間）のみ有効な、時間に敏感なコードまたはトークンを提供する必要があります。時間ベースの認証は、認証コードが限られた期間しか有効でないことを保証することで、追加のセキュリティ層を提供し、傍受や不正アクセスのリスクを軽減します。

行動ベースの認証は、ユーザーの行動や習慣を分析して本人確認を行います。この方法は、キーストロークの速度、マウスの動き、デバイスの使用習慣などの要素を評価し、各ユーザーに固有の行動プロファイルを作成します。行動ベースの認証は、継続的な認証機能を提供し、ユーザーの行動の経時的な変化に適応して、不審なアクティビティや不正アクセス試行を検出します。