なぜ安全なの？二要素認証のキモはこれ！

セキュリティの柱の1つである認証。現在はより安全な認証方法として、「二要素認証」が主流となっています。今回は二要素認証とはどのような仕組みなのか、ID・パスワードといった認証と何が違うのか、なぜ安全なのかを解説します。

「知識」「所有」「生体」による認証の違い

年々増加の一途をたどるセキュリティリスク。企業であろうと個人であろうと、可能な限り万全な対策を行う必要があることは言うまでもありません。中でも、悪意ある第三者による不正ログインは、情報漏えいやなりすましなど多くの被害が出てしまいます。

不正ログインを防ぐには、認証を適切に行い、しっかりと本人確認を実施することが基本です。認証と一口にいっても、その方法にはいくつかの種類があります。その中で、より高いセキュリティが得られることから、現在主流となっているのが「二要素認証」です。認証というと、IDとパスワードによる方法を思い浮かべる人が多いかと思いますが、二要素認証は具体的にどのような認証の仕組みなのでしょうか。

二要素認証の「要素」とは、言い換えると「認証の方針」で、現在は以下①～③の3つの要素があります。

①知識

• 本人だけが知っている情報
• 例：ID・パスワード、暗証番号

②所有

• 本人だけが持っているモノ
• 例：ICカード、トークン

③生体

• 本人の生体的な特徴
• 例：顔、指紋、静脈

②のトークンとは、認証に用いる小さなデバイスです。たとえば、インターネットバンキングでは、振込の際にワンタイムパスワードを送るのに利用されています。

2つの要素の組み合わせでセキュリティ対策の向上へ

二要素認証とは、上記①～③の要素のうち、2つを組み合わせて行う認証になります。1つの要素だけなら、①のID・パスワードは流出や使いまわしなどによって、悪意ある第三者に知られてしまうリスクがあります。②はいずれも盗難や紛失のリスクがあります。

そこで、ID・パスワードとICカードのように、2つの要素を組み合わせます。それぞれの要素は方針が根本的に異なるので、同時に破られるリスクは格段に低くなります。それゆえ、単一の要素による認証よりも、はるかに強固なセキュリティを実現できるのです。

なお、ID・パスワードは、IDとパスワードという2つの情報で構成されているので、二要素認証の1つであると考える方もいるのではないでしょうか。ところが、IDもパスワードも同じ①知識にあたるので、認証の要素としては1つになり、二要素認証にはなりません。また、パスワードを複数設けて段階的に認証を行うケースも、パスワードは①知識なので、1つの要素しか使っていないことになります。いくらパスワードを複数設けても、サーバーのクラッキングで一度にすべて流出してしまうなど、セキュリティは二要素認証に比べると劣ります。

一方、デバイスを利用したトークンは、送られてきたワンタイムパスワードを入力するので、一見①知識に思えます。しかし、トークンは本人のみが所有するモノであり、ワンタイムパスワードはその瞬間しか有効でない情報なので、②所有を裏付ける結果となります。

同様に、スマートフォンにSMSなどでワンタイムパスワードが送られるケースもありますが、こちらも②所有に分類されます。ショッピングサイトやSNS、動画サイトなどの初回利用時に、ID・パスワードとあわせて、スマーフォンのSMSでワンタイムパスワードを受け取って入力した経験のある人は多いでしょう。これは二要素認証を行っているのです。

③生体認証は盗まれるリスクは皆無であり、①や②に比べて非常に高いセキュリティが得られます。ただし、指紋や静脈は専用のデバイスが必要など、導入・運用のコストや負荷が大きいのがハードルになります。近年はノートPC内蔵のカメラをそのまま使える顔認証が広がり始めています。さらに、クラウド上で提供されているサービスの中にも二要素認証を取り入れているケースも増えています。たとえば、電子署名サービスではなりすましを排除するため、多層的な認証を取り入れることで本人認証の強化を行っています。

このように二要素認証はセキュアな認証方法として有効なので、これからも注目される認証といえるでしょう。

おすすめ記事：二要素認証と二段階認証の違いとは？知っておきたい認証方式の種類