多要素認証とは
多要素認証（MFA / Multi-Factor Authentication）とは、システムやWebサービスへログインする際に、ユーザーの正当性を確認するために必要な「要素」を複数組み合わせる認証方法です。認証の要素には、本人が知っていること（パスワード、秘密の質問などの「知識情報」）、本人が持っているもの（スマートフォン、ICカード、鍵などの「所持情報」）、本人の身体的特徴（指紋、顔、虹彩などの「生体情報」）の3つがあります。これらの異なるカテゴリーから2つ以上の要素を求めることで、万が一パスワードが盗まれても不正アクセスを防げます。
具体例
社内の勤怠システムにログインする際、最初にIDとパスワード（知識情報）を入力し、次に自分のスマートフォンに送られてくる6桁のワンタイムパスコード（所持情報）を入力して、初めてログインが完了するセキュリティ設定のケース。
認証の3要素（この中から2つ以上を組み合わせる）：
1. 知識情報：パスワード、暗証番号、PINコード
2. 所持情報：スマホアプリのワンタイムパスコード、セキュリティキー、ICカード
3. 生体情報：指紋認証、顔認証、静脈認証もう少し詳しく
多要素認証と混同されやすい用語に「二段階認証」がありますが、両者は厳密には異なります。二段階認証は認証を2回の手順に分けて行うことを指し、その2つの手順が同じ種類の要素（例：パスワードと秘密の質問はどちらも「知識情報」）である場合もあります。一方、多要素認証は「知識情報」「所持情報」「生体情報」という異なるカテゴリーから2つ以上を組み合わせることを指すため、二段階認証よりも安全性の定義が明確です。多要素認証を導入する背景には、他社サービスから流出したID・パスワードの組み合わせを使い回してログインを試みる「パスワードリスト攻撃」など、パスワードのみに頼る認証の限界があります。
試験でのポイント
「多要素認証」と「多段階認証（二段階認証）」の違いを問う問題や、知識情報・所持情報・生体情報という3つの要素の具体例を正しく分類できるかを問う問題が頻出します。パスワードのみによる認証がフィッシング詐欺やパスワードリスト攻撃に弱いことを踏まえ、多要素認証がどのように不正ログインのリスクを下げるのかを説明できるようにしておくことが重要です。
関連する用語
認証の3要素である「知識情報」「所持情報」「生体情報」、混同されやすい「二段階認証」、パスワード使い回しを悪用する「パスワードリスト攻撃」があります。