知っておきたい認証方式の種類。二要素認証と二段階認証の違いも解説

不正アクセスやなりすましを防ぐために必要な本人認証。近年では、セキュリティ向上を図るため、さまざまな種類の本人認証の方式が生まれています。そこで本記事では、認証方式を種類別に紹介し、また混同されがちな二要素認証と二段階認証の違いなど、認証方式に関する知識をお届けします。

認証の基本となる3つの要素

まず、認証方式を紹介する前に、その基本となる「認証の三要素」について解説します。認証の三要素とは、認証に用いる情報を3つのカテゴリに分類したものです。具体的には、以下に分けられます。

知識要素（Something they know）

知識要素とは、人の記憶による認証要素のことです。知識要素は複製される可能性は低いものの、失念や盗み見などによる不正アクセスのリスクが高い傾向にあります。

所有要素（Something they have）

所有要素とは、ある人が実際に所有している認証要素のことです。所有要素は紛失・盗難による不正アクセスのリスクがあるため、紛失時の無効化や再発行の手順を明確にしておく必要があります。

生体要素（Something they are） 

生体要素とは、ある人物の生体情報を活用した認証要素のことです。生体要素は、その人の体に依存する要素のため信頼度が高く、全体的に盗み見や盗聴がされにくいものの、怪我によって使えなくなる、プライバシー漏えいの恐れがあるなどのリスクが存在しています。

要素別！認証方式の種類を紹介

それでは、認証方式にはどのようなものがあるのでしょうか。ここでは認証方式の種類を要素ごとに、具体例とともに紹介します。Webサイトにログインする際や銀行のATMを使う時など、日常的に行っている本人認証もこの3つの要素のいずれかに分類されます。

知識要素

• ID・パスワード

与えられたID（メールアドレスや会員番号）と本人が設定したパスワードを使った認証方式で、Web黎明期から存在する一般的なものです。

• PIN番号

PIN（Personal Identification Number）番号は、「数桁の数字の組み合わせ」を利用する認証方式です。銀行のATMやスマートフォンなど、多くの場面で活用されています。

• 秘密の質問

あらかじめ決めておいた質問と、その解答による認証方式です。パスワードを忘れたときの再設定時などに利用されます。例えば、「母親の旧姓は？」「卒業した中学校は？」「ペットの名前は？」などです。

所有要素

• ICカード

ICカードを使った認証方式です。カード内に格納されている情報を用いて認証を行います。

• ワンタイムパスワード

1回しか使えないパスワードを使用して、認証を行うものです。具体的には、コンビニエンスストアの店頭などで販売されている、各種ギフトカードのパスワードにより、電子マネーの残高追加をする際などに用いられています。

• Eメール認証

本人へEメールでワンタイムパスワードが送信され、その内容を入力する認証方式です。

• SMS認証

携帯電話のSMSにワンタイムパスワードが送信され、その内容を入力する認証方式です。

生体要素

• 顔認証

カメラ付きのデバイスなどで、本人の顔を認識させる認証方式です。

• 指紋認証

指紋を読み取ることができる専用のデバイスなどを利用して、指紋情報を認識する認証方式です。

• 虹彩認証

虹彩を読み取ることができる専用のデバイスで、目の虹彩を認識する認証方式です。

二段階認証と二要素認証の違いとは？

ここまで「認証方式の種類」について紹介してきましたが、どの認証方式にもメリット/デメリットがあり、単体で完全なセキュリティを実現できるわけではありません。そのため、近年では、認証方式を複数組み合わせて、セキュリティの向上を図る手法が一般化しています。その1つが、2つの要素の認証方式を組み合わせて認証する「二要素認証」です。

例えば、銀行のATMを使用する際に行う本人認証は、キャッシュカードという「所有要素」と暗証番号という「知識要素」が組み合わせられています。このように二要素認証では、ただ単に「知っている」だけでは認証が成功せず、「持っていること」や「その人であること」が求められるため、より厳密に本人を識別することができます。

一方で、二要素認証と混同されがちなのが「二段階認証」です。二段階認証とは、同じ認証要素の本人認証を二つの段階で行うことによって、不正アクセスの確率を乗算的に低くする手法です。具体的には、パスワードでの本人認証ののちに、秘密の質問を組み合わせた場合、この二つはともに知識要素に分類されるため、二段階認証にあたります。

二段階認証は同じ認証要素を繰り返すため、二要素認証に比べるとセキュリティレベルが高くないとされており、システムへのクラッキングを受けやすい傾向にあります。他方、二要素認証は、知識要素の情報が盗まれても、他の要素が揃わない限り本人認証が行えません。セキュリティのレベルを高めるうえで、二要素認証は有効といえます。

二要素認証については『なぜ安全なの？二要素認証のキモはこれ！』で詳しく解説しています。あわせてご覧ください。

認証を強化するメリット

現在、さまざまな企業でデジタルトランスフォーメーション（DX）の取り組みが進んでいます。その中で、個人情報や契約文書など、重要な情報を電子的に取り扱うことが増え、より強固なセキュリティ対策が求められています。一つの対策として、認証方式の要素を理解し、それらを組み合わせることにより、不正アクセスやなりすましのリスクを低減させることが重要と言えます。

なお、ドキュサインの電子署名「DocuSign eSignature」は、メールアドレスやアクセスコードのほか、SMS・電話、知識ベースで認証を行うことができ、署名者の本人確認を強化することができます。さらに、「ID Verification（日本では未対応）」を利用することで、パスポートなど政府発行の写真付き身分証明書の自動またはマニュアル検証も可能です。これにより、重要な合意・契約文書をより確実に保護し、コンプライアンスを高めるとともに、リスクを軽減することができます。

昨今、ITサービスにもさまざまな認証方式が導入され、セキュリティ対策の手法も多様化しています。自社に適したITサービスを選定するうえでも、認証方式などのセキュリティに関する知識を蓄えておくべきではないでしょうか。

おすすめ記事：

・　巧妙化するサイバー攻撃。最近多い手口とは？
・　海外サーバーにデータを保管しても大丈夫？外為法における安全保障貿易管理について解説
・　エンドポイント対策で注目の「EDR」とは？