多要素認証とは
多要素認証（MFA）とは、コンピュータシステムやWebサービスにログインする際、本人確認を行うための情報を「異なるカテゴリの要素」から2つ以上組み合わせて認証を行うセキュリティ技術です。認証に必要な要素は、大きく分けて以下の3つがあります。
- 知識情報：パスワード、暗証番号、秘密の質問など（本人が覚えていること）
- 所持情報：スマートフォン、ICカード、セキュリティキーなど（本人が持っているもの）
- 生体情報：指紋、顔、虹彩、静脈など（本人の身体的特徴）
仮にパスワードが漏洩してしまっても、他の要素（スマートフォンなど）を持っていなければログインできないため、安全性が劇的に高まります。
具体例
例えば、ネットバンキングにログインする際、最初に「IDとパスワード」を入力します（知識情報）。その後、あらかじめ登録しておいたスマートフォンの認証アプリに表示される「6桁の1回限りの数字（ワンタイムパスワード）」を入力する（所持情報）、あるいはスマートフォンの画面に指を置いて指紋認証を行う（生体情報）といった組み合わせの操作が多要素認証の具体例です。
もう少し詳しく
多要素認証（MFA: Multi-Factor Authentication）を導入する意義は、「ある1つの認証情報が破られても、他の要素で防ぐ」というセキュリティの多層防御にあります。認証の3要素の特性を以下に補足します。 1. 知識情報（Something you know）：最も歴史が古く手軽ですが、メモの紛失や推測、フィッシング詐欺などで盗まれやすい性質があります。 2. 所持情報（Something you have）：物理的な所有が必要なため、インターネット経由の攻撃に対して非常に強いです。認証アプリ、SMSへのワンタイムパスワード、スマートカード（ICカード）、ハードウェアトークンなどが用いられます。 3. 生体情報（Something you are）：身体的な特徴をデータ化して使用するため、他人が偽装することが極めて困難で、パスワードのように「忘れる」心配がありません。一方で、指紋データなどが一度漏洩してしまった場合、パスワードのように「変更」することができないというリスクもあります。 これらの中から「同じカテゴリの要素を2つ（例：パスワードと秘密の質問）」組み合わせることは「多要素認証」とは呼ばず、単なる「多段階認証」になります。要素（ファクター）が異なる組み合わせであることが定義上の重要な点です。
試験でのポイント
試験では、多要素認証の「3つの要素（知識、所持、生体）」に該当する具体例を正しく分類できるかどうかが頻繁に問われます。例えば、「パスワードは知識情報」「ICカードやスマートフォンのSMS認証コードは所持情報」「虹彩や指紋は生体情報」という対応関係です。また、「パスワードを入力した後に秘密の質問の答えを入力する」というケースは、両方とも「知識情報」であるため多要素認証には該当せず、セキュリティ強度が十分ではないという引っ掛け問題もよく出題されます。さらに、スマートフォンなどで利用される「ワンタイムパスワード」の仕組みや、一度のログインで複数の異なるサービスを利用可能にする「シングルサインオン（SSO）」といった、アクセス認証技術全般についての理解も深めておきましょう。
関連する用語
多要素認証を理解する関連用語としては、一度のログインで関連する複数のシステムを利用可能にする「シングルサインオン（SSO）」、本人の身体的特徴で識別する「バイオメトリクス認証（生体認証）」、そして一度限りの使い捨て暗証番号である「ワンタイムパスワード」があります。これらは現在のID管理と認証の主軸です。