2FA
２要素認証（2FA）や２段階認証を要求するSNSやオンラインサービスのアカウントが最近増えてきました。職場でもログインするたびに2FAを導入するところも多くなりました。しかしそれらがどのように機能するのか、そしてなぜそれが必要なのか疑問に思ったことはありますか？この記事では、それらの疑問点について解説します。
２要素認証とは何か？
シンプルな定義から始めましょう。アクセス権の検証、つまり認証のために複数の方法を同時に使用することは、多要素認証と呼ばれます。
多くの場合、オンラインサービスでは二要素認証が使用されます。より多くの要素を使用することに問題はありませんが、ユーザーを過度にイライラさせないように、通常はその数が2つに制限されます。
言い換えれば、2FAはアカウント保護と便利なログインの間の最適なバランスを提供します。しかし、ユーザーの認証権限を確認するためにはどのような「要素」が使用されるのでしょうか？ここでは最も一般的なオプションをご紹介します。
- 知識。正しいパスワード、パスフレーズ、数字コード、グラフィックパターン、秘密の質問への答えなどがあれば、認証が許可されます。
- 所有物。特定のアイテム（鍵、USBトークン、電話、銀行カードなど）は、アクセス権を認証するのに適しています。電話番号や他のアカウント（電子メールなど）へのアクセス権も含まれます。これは、1回限りのコードなどを取得することで証明できます。
- 固有の特性。指紋、音声、顔、DNA、虹彩のパターン、キーボードの特徴的な入力スタイルなどユーザーの特徴を使用して認証します。
- ジオロケーション（位置情報）。ユーザーが特定の場所にいる情報に基づいて認証します。例えば、企業リソースにログインする場合は、会社のオフィス内にいる必要があります。
多要素認証が機能するためには、ユーザーの権利を検証するために異なる要素を組み合わせて行わなければなりません。例えば、パスワードと秘密の質問という二つの知識要素を組み合わせた場合は2FAとは見なされません。それは２段階認証になります。
２要素認証が必要なのはなぜか？
各検証方法にはそれぞれ弱点があるため、多要素認証が推奨されます。たとえば、ある情報に関する知識は、信頼できる方法である可能性がありますが、それはその情報がユーザーのみが知っていて、第三者が他の情報源から知る得ることがない場合に限られます。しかし、そのようなケースは実はほとんどありません。ユーザーはパスワードを入力する必要があり、そのパスワードはインターネット経由で送信されています。また、すべてのアカウントのすべてのパスワードを覚えている人はいないため、おそらくどこかに保存されているでしょう。これにより、傍受や盗難のリスクが高くなります。
さらに、パスワードはオンラインサービス運営側に保存されることになり、そこから漏えいする可能性があります。そして、複数のサービスで同じパスワードを使いまわしている場合、これらすべてのアカウントがハッキングされる危険にさらされています。残念ながらまだ多くの人が一つのパスワードを使いまわしている現状です。
他の検証方法についても同様です。自分の持ち物の要素を使うのも理想的ではありません。所有物（鍵、電話、銀行カード）が盗まれる可能性があるからです。位置情報自体は何も確証しません。あなたとほぼ同じ時間、同じ場所に他にも多くの人がいるからです。
おそらく、固有の特性要素のみが多かれ少なかれ信頼できると考えられるため、単一の認証要素として使用されることがあります。しかし、かなりの数のニュアンスもあります。
したがって、多要素認証の概念が生まれました。複数の要素を認証に使用するほど、アカウントにアクセスしようとしている人が本当にアクセスをする権利を持っている可能性が高くなります。
より多くの要素を使用すると、アカウントが本人以外の第三者にアクセスされないようにすることができます。
したがって、２要素認証は良いアイデアだと言えるでしょう。サービス運営側にあなたがあなたであることを知らせ、アカウントのハッキングを困難にするためです。
２要素認証の使用方法
様々な種類の2FAについては別の記事で説明します。それまでの間、いくつかのヒントを紹介してこの記事を終了します。
- ２要素認証を提供するすべてのサービスで２要素認証を有効にしましょう。
- 可能であれば、2FA方式として認証アプリからの1回限りのコードを選択してください。また、本当に価値のあるアカウントの場合は、FIDO U2Fハードウェアキーを使用してください。
- 上記のオプションがない場合でも、他の方法を使用した方が、2つの要素をまったく使用しないよりははるかに優れています。
- 2FAは高レベルのフィッシングを防ぐものではないことに注意してください（FIDO U2Fキーを除く）。そのため、コードを入力する前に、偽のウェブサイトではなく、本物のウェブサイトにアクセスしていることを確認してください。
- カスペルスキー プレミアムなど、フィッシング対策が組み込まれた信頼性の高いセキュリティソリューションを使用しましょう。
強力なパスワードを作成して安全に保存するには、カスペルスキー パスワードマネージャーを推奨します。この完全版には カスペルスキー プレミアムのサブスクリプションが付属しています。ちなみに、当社のパスワードマネージャーには、アカウントをハッキングから保護するのに役立つ便利な機能が他にもいくつかあります。
ヒント