セキュリティ方法の 1 つ「2fa(二要素認証)」とは？
2faとは「two-factor authentication」の略で、日本語に訳すと「二要素認証」となります。二要素認証とは、データやシステムへアクセスする際に、２種類の本人確認を用いる認証方法です。従来の認証は、ログインID・パスワードを用いた方式が一般的でした。しかし、IDとパスワードを他者に知られただけで、容易になりすましの被害を受けかねません。
そこで2faでは、１種類の情報のみでは不正アクセスされないように、２種類の情報を利用します。具体的には、以下の３種類のうち、２種類を利用した認証方法が2fa(二要素認証)です。
- A．知識要素：本人のみが知っていること
- B．所有要素：本人のみが所有するもの
- C．生体要素：本人自身の身体的特徴
ID・パスワードはAに該当します。一方、社員証やパスポートなどの所有物はB、指紋や網膜などはCに該当します。２種類の要素を揃えて初めてアクセスできるようにすることで、セキュリティレベルを高めることが可能です。
2fa(二要素認証)にはどんなメリットがある？
2fa(二要素認証)を採用すると、アクセスするたびに２種類の情報を提示しなければなりません。IDとパスワードの管理・入力だけでも煩雑なのに、さらに情報が必要となれば、億劫に感じる人も多いでしょう。しかし、デメリットがあっても導入されるのは、メリットがより大きいからです。詳しく見ていきましょう。
パスワード盗用からのサイバー攻撃を防ぐ
ログインIDとパスワードを用いたログインは、多くのシステムで採用されています。SNSや会員制Webサイトなどへの日常的なアクセスに、ID・パスワードを用いている人は多いでしょう。知識として覚えておくだけで認証が成立する手軽さが強みです。
しかし、利便性と危険性は表裏一体です。認証が簡単なほど、第三者による不正アクセスを許しやすくなります。ネットバンキングや社内のデータベースなど、第三者にログインされると甚大な被害につながるシステムが簡単に不正アクセスされるようでは、安心して利用できません。
そこで、2fa(二要素認証)を導入すれば、ID・パスワードのみを知られても不正アクセスされずに済みます。例えば、指紋認証を併用すれば、第三者は本人の指紋情報まであわせて入手しなければ、不正アクセスできなくなります。１種類の情報のみに頼るよりも、堅牢なセキュリティ体制を作ることが可能です。
パスワード再発行を減らしてコスト削減
社内システムにID・パスワードのみを用いてアクセスする場合、社員がこれらの情報を忘れたら社内ヘルプデスクに問い合わせる必要があります。
忘れるたびに問い合わせの手間が発生し、情報システム部門は再発行に追われなければなりません。一度の手間は軽微でも、多くの社員が所属する企業では、膨大な負担になることがあります。
一方、2fa(二要素認証)を利用すればパスワードの再発行を社員本人が自力で行えるようになります。パスワードを忘れても、もう１つの情報で一応の本人確認が可能なためです。長期的な視点で、大きなコストカットを図れるでしょう。
巧妙になったフィッシング攻撃を弱体化
データ漏えいの原因にはさまざまなものがありますが、その高い割合をフィッシング攻撃が占めます。フィッシング攻撃とは、偽のサイトに相手を誘導し、ID・パスワードを入力させる攻撃手法です。
近年、フィッシング攻撃は巧妙化の一途をたどっています。中間者フィッシング攻撃やPhaaSなど、新しい手法も数多く登場しました。そこで2fa(二要素認証)を利用すれば、IDとパスワードを盗まれても、それだけで不正アクセスされる心配はありません。フィッシング攻撃を防ぐのではなく、攻撃を受けた後の被害を最小化する点で2faは役立ちます。
2fa(二要素認証)の認証方法は主に４つ
2fa(二要素認証)の導入にあたって、具体的にはどの２種類を組み合わせればよいのでしょうか。2fa(二要素認証)で用いられる認証要素の組み合わせには、代表的なパターンがあります。迷っているのであれば、以下で紹介する代表例から検討してみましょう。
物理的なデバイスによるハードウェアトークン
ハードウェアトークンとは、認証に用いる物理的なデバイスのことです。携帯可能な小型サイズであるのが一般的です。例えば、USBに接続して使うデバイスやカード形式のもの、Bluetoothを用いた非接触式のハードウェアなどがあります。
デバイスをかざしたり接続したりするだけという、簡便な使い心地が魅力の認証方法です。ただし、小型のデバイスを携帯する特性上、紛失や盗難のリスクがあります。また、携帯し忘れると本人も認証に困るのがデメリットです。
モバイル端末に直接表示させるプッシュ通知
スマートフォンなどのモバイルデバイスに、通知を送る形式です。ユーザーがシステムへのログインを試みるとモバイルデバイスにプッシュ通知が届き、認証ボタンを押すことでログインが成立します。
スマートフォンを利用するため、専用のハードウェアトークンを用いるよりも、携帯し忘れるリスクが低いのが特徴です。しかし、盗難や紛失のリスクはあります。また、インターネットに接続可能な環境でなければ利用できないのが欠点です。
SMSメッセージでワンタイムパスによる認証
ユーザーがログインを試みると、SMSにワンタイムパスワードが送られてくる認証方法です。スマートフォンなどでワンタイムパスワードを確認し、ログイン画面で入力することによりアクセスが成立します。SMSではなく、音声通話によってワンタイムパスワードを通知する方式もあります。
スマートフォンを持っていれば、簡単に利用できる方法です。ワンタイムパスワードは時間制限が設けられた使い捨てパスワードのため、後で知られてもリスクにはなりません。ただし、ワンタイムパスワードの通知は容易にハッキング可能なのが難点です。
自動システムを通して行われる音声による認証
自動システムに対する音声通話によって、認証を行う方式です。音声ガイダンスに従ってキーを押したり、自分の名前を告げたりして１要素目の認証を行います。
そして、音声で指示されるパスワードをログイン画面に入力することで、２要素目の認証が完了します。
この方式の特徴は、フィーチャーフォンや固定電話でも利用可能な点です。SMSやプッシュ通知はスマートフォンやタブレットでなければ使えませんが、音声認証なら電話さえ使えれば事足ります。また、ハードウェアトークンとは異なり、新たにデバイスを用意するコストも発生しません。
2fa(二要素認証)と MFAは何が違うの？
2fa（二要素認証）と似た用語にMFA（多要素認証）があります。両者の違いは、利用する認証要素の数です。
2fa（二要素認証）はその名のとおり、２種類の要素を組み合わせます。一方、MFAは２種類以上の要素を組み合わせる方式です。知識要素・所有要素・生体要素のうち、２種類あるいは３種類すべてを利用します。2faは、MFAの一種であるといえます。
認証に必要な要素を増やすほど不正アクセスは困難になるため、２要素認証よりは３つの要素を用いた多要素認証のほうがセキュリティ性は堅牢です。
そのため、医療機関や金融機関など、重要な情報を扱う組織ではMFAが積極的に利用されています。
2fa(二要素認証)でセキュリティレベルを高め企業の情報を守る
今や日常生活にもビジネスにも、ログインというプロセスは欠かせないものになりました。しかし、本人認証は悪用され、第三者の不正アクセスを許すことがあります。
そのリスクを減らす対策の１つが2fa(二要素認証)です。２種類の要素を用いることで、IDとパスワードを知られただけでは不正アクセスされずに済みます。
自社のセキュリティレベルを高めるために、2fa(二要素認証)の導入を検討してはいかがでしょうか。
