二段階認証：必要不可欠なセキュリティの追加レイヤー

トピック

クラウドセキュリティ, Biometric Authentication

要約

2要素認証（2FA）は2段階認証とも呼ばれ、ユーザーに2つの異なる要素（知識情報（パスワードなど）、所持情報（スマートフォンやハードウェアトークンなど）、生体情報（指紋など））による本人確認を求めることで、アカウントのセキュリティを強化します。パスワードだけでは盗難、推測、再利用が容易なため、第2の要素を追加することで、不正アクセスのリスクを劇的に軽減できます。Google、Apple、Microsoftなどの主要なプラットフォームはすでに2FAを利用しており、業界はさらに強力な多要素認証やパスワードレスのアプローチへと移行しています。

二重認証とアカウントのセキュリティについて

二要素認証は、二要素認証（2FA）または2FAとも呼ばれ、パスワードだけでなく複数の要素を要求することで、オンラインセキュリティを向上させることができます。

サイバーセキュリティは、私たちの生活がデジタル世界に移行するにつれて、ますます重要になっています。機密データや情報は、悪意のあるサイバー犯罪者や悪質な行為者の餌食になりやすいです。

二要素認証では、ログイン認証情報に加えて、通常は生体認証要素またはセキュリティトークンなどの追加の認証方法を使用する必要があります。この追加のセキュリティ層により、不正なユーザーがアカウントや情報にアクセスすることが困難になります。

二要素認証（2FA）は、機密性の高いシステムや機密データへのアクセスをより適切に制御します。

二段階認証とは？

つまり、二重認証では2つの認証方法を使用して本人確認を行います。2FAや二要素認証のほか、2段階認証や二要素認証と呼ばれることもあります。

これは、ログインとパスワードだけでシステムやアカウントへのアクセスを許可するシングル要素認証（SFA）よりも高度なものです。ログイン認証情報は、侵害、ハッキング、または盗難される可能性があります。その結果、複数の認証形式を必要とする多要素認証（MFA）方式の方が安全です。

二段階認証では、識別検証のために、認識されている3つの要素のうち2つを使用する必要があります。

本人が知っている情報。通常はパスワードや個人識別番号（PIN）を指します。
携帯電話、クレジットカード、ハードウェアトークンなどの所持品
指紋や顔スキャンなどのバイオメトリクスマーカーのような、あなた自身に関する情報です。

二要素認証方式では、システムまたはサービスにアクセスするために、これらの認証要素のうち2つを使用します。

機能	単一要素認証（SFA）	二要素認証（2FA）
必要な認証要素の数	1	2
セキュリティレベル	低リスク – パスワードのみを使用	高 — 2つ目の明確な要素が必要
例：	ユーザー名とパスワード	パスワードと指紋、またはハードウェアトークン

デュアル認証の仕組み

二段階認証を使用するには、ユーザーは2つの認証要素を提供する必要があります。また、各要素は異なるカテゴリのものである必要があります。

例えば、パスワードと秘密の質問への回答は、どちらも知識ベースの認証要素と見なされるため、二要素認証方式としてはカウントされません。代わりに、アクセスして本人確認を行うには、パスワードと、指紋などの第2の要素を提供する必要があります。

ベンダーやアプリケーションごとに2要素認証を有効にする方法は異なりますが、一般的な複数ステップのプロセスは次のようになります。

アプリケーションまたはウェブサイトは、ユーザーにログイン情報を入力するように求めます。
ユーザーは、通常はユーザー名とパスワードである知識ベースの情報を入力します。
パスワードが不要な場合、Webサイトは多くの場合、そのWebサイトのサーバーによって検証・認証される一意のセキュリティキーを使用しています。
ウェブサイトまたはアプリケーションは、2番目のログインステップを通じて、2番目の認証形式を要求します。
ユーザーは、顔認証スキャン、指紋スキャン、IDカード、セキュリティトークン、またはスマートフォンなど、所有しているものを提示します。
ユーザーは、指定されたデバイスに対して前のステップで生成されたワンタイムコードの入力を求められる場合があります。
両方の認証要素が検証され、アクセスが許可されます。

ユーザーは、サービスまたは製品にアクセスするために、両方の認証形式を提供する必要があります。したがって、どちらか一方が侵害されたとしても、アクセスは安全なままです。

パスワードはなぜセキュリティリスクとなるのですか？

パスワードは、さまざまな理由から、セキュリティの形式として最も安全ではありません。高度なサイバー犯罪者や進化するハッキング手法により、より安全なシステムとアカウントに対する本質的なニーズがあります。

米連邦捜査局（FBI）によると、2020年に最も多く見られたサイバー犯罪の形態の1つがフィッシング攻撃でした。フィッシング詐欺によって、パスワードなどのユーザーのログイン認証情報が不正に取得され、特権データや情報にアクセスされてしまいます。

パスワードは、次の理由により、ユーザー認証の弱い形式です。

人間の本質：覚えやすく簡単なパスワードは推測されやすく、盗まれやすいことが証明されていますが、ユーザーは覚えやすいものを使い続けています。パスワードは一般的に簡単すぎるか、見つけやすい場所に置かれています。ユーザーにとっては簡単ですが、潜在的な不正ユーザーにとっても簡単です。
幅広い利用：利便性を高めようとして、ユーザーがさまざまなプラットフォームやアカウントで同じパスワードやパスワードの組み合わせを使い回すことがよくあります。これにより、ハッカーは1つのパスワードを盗むだけで、ユーザーのデジタルフットプリントの大部分に簡単にアクセスできるようになります。
変更頻度が十分でない：セキュリティを強化するために、パスワードは侵害やハッキングを防ぐために定期的に変更する必要があります。しかし、ほとんどの場合、ユーザーはこの手順を実行しません。
パスワード疲れ: ユーザーは多くの場合、安全で頻繁に変更されるパスワードを使用して良い意図で始めますが、非常に多くの変更されるパスワードに対応し続けるのは困難です。ユーザーは多くの場合、代わりに脆弱なパスワードに戻ります。
安全でないストレージ: パスワードは、安全でないデジタルまたは物理的な場所に保存される可能性があります。したがって、パスワードが強力であっても、盗難に対して脆弱です。

パスワード関連の不正行為はどの程度広がっていますか？

FTC（連邦取引委員会）が2020年に受理した詐欺の報告件数は200万件をはるかに上回り、被害額は35億ドル近くに達しました。

ヒューマンエラーは、インターネット詐欺やサイバー犯罪の最も一般的な原因の1つであり、犯罪者に機密情報へのアクセスを許してしまいます。パスワードは、悪意のある攻撃者が盗み、模倣し、推測し、侵害する最も簡単なものの1つです。このため、パスワードはインターネット上のデータを保護するための主要または唯一の方法として使用すべきではありません。

二要素認証製品の種類

デュアル要素認証製品には、主に2つのカテゴリがあります。ログイン時にユーザーが受け取るトークンと、トークンの正しい使用に基づいてユーザーを認識および認証するソフトウェアまたはインフラストラクチャです。

二要素認証を実装できるサービスやデバイスには、さまざまな種類があります。認証トークンは、ソフトウェアまたはアプリケーションに埋め込むことも、小型の物理的なハードウェアにすることもできます。

これらは、二段階認証製品の一般的な例です。

ハードウェアトークン：実際のハードウェアであり、一般的にはキーフォブ、IDカード、または小型のユニバーサルシリアルバス（USB）デバイスです。二重認証プロセスでは、デバイスから直接コードを読み取るか、ユーザーがトークンから固有のコードを入力します。
ソフトウェアトークン：これは、ソフトウェアで生成された時間ベースのワンタイムパスワード（TOTP）を使用し、ソフトトークンと呼ばれることがよくあります。ソフトウェアトークンを使用する場合、通常、ユーザーはまずこの認証形式に必要なアプリをダウンロードしてインストールする必要があります。最初のログイン後、コードが生成され、同じデバイス上のアプリに表示されるため、セキュリティが強化されます。
ショートメッセージサービス（SMS）ベース：この形式の2FAでは、ユーザーがユーザー名とパスワードを入力すると、アプリケーションまたはWebサイトからユーザーの携帯電話にテキストメッセージでワンタイムパスコード（OTP）が送信されます。その後、ユーザーはアクセスするためにコードを入力するよう求められます。音声ベースの2FAは同様のテクノロジーを使用しますが、テキストメッセージの代わりに音声でコードを送信します。
プッシュ通知: より高度な二要素認証の形式として、ウェブサイトやアプリケーションから、アクセスを試みているユーザーに直接プッシュ通知を送信する機能があります。デバイスの所有者は、それを受け取ると、システムにコード全体を入力する代わりに、簡単なタッチでアクセスを承認または拒否できます。

これは、インターネットに接続され、アプリケーションをダウンロードできるデバイスにのみ適用されます。ユーザーフレンドリーで、非常に安全です。

生体認証：指紋、網膜スキャン、顔認証などの生体情報や個人情報の利用は、2要素認証の一形態として機能します。ユーザーは、内蔵の指紋スキャナーで指紋をスキャンするか、デバイスのカメラを使用して認可を行います。

二段階認証を使用しているのは誰ですか？

多くのWebサイトやアプリケーション、企業や組織は、システムとサービスをより安全に保つために、二要素認証に依存しています。

多くの場合、ユーザーは2FAを使用するために、それを有効化または設定する必要があります。ほとんどのオンラインサービスプロバイダー、多くのウェブサイト、およびアプリケーションには、二段階認証のオプションがあります。

これらは、二要素認証を使用している主要企業の例です。

会社名	Platform・リソース
Amazon	Amazon.com
Apple	Apple ID
Facebook	Facebook
Dropbox	Dropbox
Dashlane	Dashlane
Google	Google 2段階認証
Instagram	Instagram
Microsoft	Microsoftアカウント
Bank of America	オンラインバンキング
GitHub	GitHub
米国国防総省（DoD）	DODEA MFA
PayPal	PayPal

企業や組織は、安全なプラットフォームやデータベースにアクセスするために、二要素認証を必要とすることがよくあります。ログイン認証情報に加えて、ハードウェアトークンまたはバイオメトリクスの使用を要求する場合があります。

アプリケーションやWebサイトを含むオンラインプラットフォームでは、多くの場合、セキュリティを強化するために二要素認証が実装されています。

モバイルプラットフォームでの二重認証はどのように機能しますか？

世界は日々、ますますデジタル化しています。その結果、認証検証プロセスの多くはモバイルプラットフォームで実行されます。

スマートフォンで2要素認証を有効にする方法とは？

二要素認証では、スマートフォンがよく使用されます。たとえば、スマートフォンには生体認証機能が含まれていることがよくあります。スマートフォンは一般的に、指紋を読み取ったり、写真を撮ったり、顔をスキャンして顔認識を行ったりすることができます。

携帯電話はテキストメッセージを送受信でき、SMSベースの二要素認証や音声ベースの認証要素にも使用できます。スマートフォンは、全地球測位システム（GPS）の位置情報を頻繁に追跡します。この情報は、ユーザーを検証し、ユーザー情報に基づいて2FAを実装するために使用できます。モバイルデバイスは、ユーザーが外出先で受信できるプッシュ通知を送受信することもできます。

認証の未来とは？

サイバーセキュリティがさらに重要かつ適切になるにつれて、認証およびID検証の方法はさらに重要になっています。

パスワードを超える多要素認証はどのように進化しているのでしょうか？

パスワードの使用は、今日でも最も一般的な認証要素の1つですが、やはりセキュリティは最も低いと言えます。企業やサービスは、少なくとも二要素認証モデルに移行しています。多くの企業が、少なくとも3つの認証タイプすべてを要求できる多要素認証（MFA）の検討を開始しています。

生体認証と行動シグナルはどのような役割を果たしますか？

これは、パスワードとユーザー名に加えて、ユーザーは物理トークンとバイオメトリックマーカーの使用を求められることも意味します。バイオメトリクス認証は、バイオメトリクス識別子の使用を含むように拡大しており、キーストロークの長さやウェブサイトのサーフィンパターンなど、ユーザーがデバイス、タッチスクリーン、またはマウスを操作する方法とタイピング速度を読み取ることができます。

人間は本質的に習慣的な生き物であり、生体認証識別子は、ユーザーが本人であるかどうかを判断するのに役立ちます。デバイスの種類、サービスへのアクセス時間、地理的位置などの要素も、認証要素として使用できます。

組織はまた、安全でないパスワードをユーザーが入力する必要性をなくしながら、ITセキュリティを維持するのに役立つパスワードレス認証機能を模索しています。ブロックチェーン、ゼロトラストセキュリティ原則、分散型アイデンティティ、および自己主権型アイデンティティはすべて、パスワードを必要とせずに、組織内のログインプロセスの制御を維持できる検討対象のオプションです。

デュアル認証に対応している認証アプリはどれですか？

モバイルプラットフォームでは、二要素認証では通常、認証アプリの使用が必要です。これらのアプリは無料で、インターネットに接続されたデバイスにダウンロードされます。

ソフトトークンの入力を求められた場合、認証アプリがコードまたはプッシュ通知を生成します。例としては、次のものがあります。

二要素認証は、セキュリティを強化し、機密性とプライバシーに対する信頼性を高めます。少なくとも2つの認証形式を使用するには追加の手順が必要ですが、プロセスはモバイルプラットフォームを通じて、よりスムーズでユーザーフレンドリーなエクスペリエンスへと進化しています。

よくある質問（FAQ）

二重認証と多要素認証（MFA）の違いとは何ですか？

二要素認証（2FA）では、異なるカテゴリーから正確に2つの認証要素が必要です。多要素認証（MFA）では、認識されている3種類の要素（知識要素、所有要素、生体要素）すべてを要求できるため、より強力なセキュリティモデルを構築できます。

なぜパスワードだけでは安全ではないのでしょうか？

パスワードが脆弱である理由はいくつかあります。ユーザーは、単純で推測しやすいパスワードを選んだり、複数のアカウントで使い回したり、変更頻度が低かったり、安全でない方法で保管したりする傾向があるためです。こうした習慣により、パスワードはサイバー犯罪者にとって最も盗みやすく、悪用しやすい認証情報の一つとなっています。

二重認証で不正アクセスを完全に防ぐことはできますか？

二要素認証は不正アクセスのリスクを大幅に低減しますが、完全に安全というわけではありません。ただし、両方の要素が同時に侵害される必要があるため、たとえパスワードなどの1つの要素が盗まれたとしても、攻撃者が侵入するのははるかに困難になります。

ハードウェアトークンとソフトウェアトークンの違いは何ですか？

ハードウェアトークンとは、キーフォブやUSBデバイスなどの物理的なデバイスで、認証コードを生成または保存するものです。ソフトトークンとも呼ばれるソフトウェアトークンは、モバイルデバイス上のアプリを使用して、時間ベースのワンタイムパスワード（TOTP）を生成するため、物理的なデバイスを別途用意する必要がありません。