多要素認証（MFA）

なぜパスワード1つでは不安なのか

パスワードは漏洩や推測で他人に渡ることがあります。ここでは認証アプリの使い捨て確認コード（OTP）を足す例で、異なる要素を組み合わせる意味を見ます。MFAの方式によって、フィッシングへの強さも異なります。

突然の承認通知が来たら

仕事をしていない時間に「ログインを承認してください」と通知が来たとします。通知を消したくて承認すると、別の人のログインを手伝ってしまうかもしれません。自分で始めた操作かどうかが、最初の確認点です。

1. 1

   承認せず、公式の経路で確認する

   身に覚えのない要求は拒否します。通知のリンクに頼らず、普段使うアプリや公式サイトから履歴を確認します。

2. 2

   社内窓口へ報告する

   時刻や表示内容を伝えます。パスワード漏洩の可能性も調べますが、通知だけで原因を決めつけず、必要な失効・変更を行います。

スマホをなくす前に備える

MFAに使うスマホをなくすと、パスワードが分かっていても仕事に入れなくなることがあります。機種変更や紛失が起きる前に、予備の認証手段やリカバリーコードを用意します。コードは端末の紛失と一緒に失わない、会社が認めた安全な場所で保管します。

復旧の手順も、本来のログインと同じように守る必要があります。窓口で誰が本人確認をするのか、古い認証手段をどう外すのかまで確かめます。MFAを通った後のセッションも盗まれ得るので、端末の保護やセッションの失効は引き続き必要です。

押さえておきたい用語

多要素認証（MFA）

知識・所持・生体のうち異なる要素を組み合わせる認証。パスワードだけを盗まれた場合の侵入を減らす。

認証の3要素

知識・所持・生体の3種類。パスワードと別のPINはどちらも知識で、2つあってもMFAにはならない。

ワンタイムコード（OTP）

一度の認証に使うコード。時刻やカウンタで変わる方式等があり、有効期間中の盗用・中継には注意が必要。

二段階認証

認証を2つの手順に分ける呼び方。異なる要素を使うMFAと同義とは限らず、MFAが1操作で済む場合もある。

認証アプリ

時刻に応じて切り替わる確認コード（TOTP）等を作るアプリ。SMSの乗っ取りリスクを避けやすいが、コードのフィッシングを防ぐ方式ではない。