二要素認証との違い

「二段階認証」と似ている言葉に「二要素認証」があります。二要素認証は、認証の段階数に関係なく、3つの認証要素の中から2つを認証に用いる認証方法です。

認証の要素は以下のとおりです。

例えば、ID・パスワードの入力のあとに、さらに指紋での認証を行う場合には、異なる二つの認証要素を組み合わせているため、「二要素認証」になります。

一方で、二段階認証は、認証の要素に関わらず、二段階に分けて行う認証方法を指します。IDとパスワードの入力に加え、同じ知識要素である秘密の質問の答えを入力するのは、二段階認証にあたります。

近年はセキュリティ強化のために、二要素を用いた二段階認証を導入するケースが増えています。例えば、ID・パスワードと秘密の質問の答えでの認証は、二段階認証には該当しますが、同じ知識要素のみを用いた一要素の認証方法です。ログイン情報さえ手にしてしまえばアカウントに入ることは可能な為、認証要素を分散させた場合に比べて、なりすましや不正ログインのリスクは高まります。しかし、二段階目の認証に、指紋や顔を読み取るなどの本人しか持っていない特性を用いれば、たとえ他人がログイン情報を所持していても、アカウントに入ることは難しくなります。

このように、ただ二段階で認証を行うのではなく、異なる認証要素を組み合わせた「二要素認証」にする方が、セキュリティは高まります。

SMS認証

SMSで携帯電話に認証コードが送信され、指定された画面に入力する方法です。SMS認証は電話番号を取得している携帯さえあれば使用できる為、利便性や導入コストの観点から、多くのサービスで採用されています。たとえIDやパスワードが流出しても、二段階目の認証コードを受信する携帯電話がなければ、セキュリティ突破することはできません。

しかし、偽のSMS認証メールを送って認証コードを入力させることで、認証コードを特定する手口もありますので注意が必要です。また、SMSを使用できない場合や、受信できない環境にいる場合には、SMS認証を使うことはできません。

SMS認証についての詳細は、「SMS認証とは？仕組みやメリット、活用例・導入方法についても解説！」の記事もあわせてご覧ください。

トークンを使用した認証

「セキュリティトークン」というワンタイムパスワードを発行する機器を使う方法です。機器を用いて生成したパスワードを、ユーザーが時間内に入力することで認証を行います。暗号通貨やネットバンク、オンラインゲームなどの決済処理が必要な場面で利用されています。機器に表示されたワンタイムパスワードを入力しない限りログインできない為、他者に不正にログインされるリスクは低い反面、発行手数料が高いなどの問題もあります。

メールや音声通話による認証

メールによる認証では、自分のアドレス宛に送られたワンタイムパスワードや認証コードを入力します。フリーメールで行えばコストも発生しません。ただし、メールアドレスが他者に知られている場合には、ログイン情報が漏洩し、アカウントに入られてしまうリスクがあります。音声通話による認証では、電話の着信時に流れる機械音声による認証コードを確認して入力します。

専用アプリを使った認証

専用のアプリを使用して認証を行う方法です。アプリへの通知が来てログインを許可したり、指紋認証や顔認証などを使用したりと方法は様々です。パソコンに表示されたQRコードをアプリで読み取ってログインするものもあります。

USBなどを使用した認証

USBメモリなどの物理デバイスとサービスのアカウントを紐づけて登録し、認証を行う方法です。デバイスにはUSB端子に接続するタイプやBluetoothで接続するタイプなどがあります。デバイスは基本的に本人しか所持しておらす、デバイスを持っていなければログインできない仕組みです。デバイスの紛失や故障があるとログインに支障をきたしますので、管理を徹底する必要があります。デバイスの購入コストはかかるものの、セキュリティとしてはかなり強固な認証方法になります。

デバイス本体を紛失すると認証が不可能

SMSやメールでの二段階認証で認証コードが送られる場合、認証コードを受け取る側のデバイスを紛失すると、当然認証もできなくなります。また、たとえデバイスを紛失していなくても、必要な時にデバイスが手元にないと認証はできません。ユーザーの利便性を考慮すると、スマートフォンのように常に持ち運ぶようなデバイスが認証には適しているといえるでしょう。

フィッシング詐欺やウイルスへの対策が必要

近年、偽のECサイトなどのフィッシングサイトを作り、二段階認証の認証コードを入力させることで情報を得る手口が増加しています。特にSMSやメール通知の場合、一見、本物のメッセージと区別がつかず、知らず知らずのうちに個人情報を自ら打ち込んでしまうこともあります。

また、二段階認証を導入することはセキュリティの強化につながりますが、ウイルス自体を処理できるわけではないことを忘れてはなりません。ウイルスによる攻撃を受けるリスクは常にありますので注意しましょう。

スマートフォンの機種変更への対応が必要

スマートフォン端末で二段階認証を行っている場合、機種変更によって二段階認証ができなくなる場合があります。スマートフォンの機種を変更する時は、変更前に二段階認証の設定を解除しておくのを忘れないようにしてください。

二段階認証を過信しない

二段階認証を使用していても、セキュリティが完全とは言い切れません。例えば、偽の認証メールでコードを入力させるなどの二段階認証を狙った手口もあります。

二段階認証のセキュリティを強めるためには、二段階目の認証方法のみに目を向けるのではなく、まずは一段階目のパスワードを複雑なものにするのが効果的です。必ず一段階目で入力するIDやパスワードは、単純な文字列や数字にするのではなく、複雑で覚えにくく、他者が簡単には特定できないものにしてください。同じIDやパスワードを使いまわすと、その分漏洩した時のリスクが高まります。パスワードはシステムによって分け、複数のIDやパスワードを使い分けることをおすすめします。

二段階認証を導入する企業は、ユーザーに最低でも10文字以上、英大文字・英小文字・数字・記号を必ず使用するよう注意喚起できると良いでしょう。

また、認証端末を使い分けることも効果的です。一つの端末のみで二段階認証を完結できると、便利で使いやすいでしょう。しかし、端末から情報が漏れると、同時に二段階認証にも影響を与える恐れがあります。少々面倒でも、スマートフォンとパソコンなどの別の端末の二段階認証にして、他者が簡単に認証できない仕組みづくりが大切です。

二段階認証を導入する企業は、二段階認証のセキュリティを高めるために、複雑なパスワード設定や定期的なパスワード変更、認証端末を分けることなどをユーザーに喚起することが必要です。また、二段階認証の方法も、ユーザーが複数の中から選んで(アプリ、メール、電話の中から選ぶなど)使い分けができるように工夫しても良いでしょう。

企業にあった認証を使う

最も一般的な二段階認証としては、SMSによる認証が挙げられますが、生体認証やトークン、物理デバイスを用いた方法もあります。しかし、静脈認証や物理デバイスでの認証の場合には、導入コストや運用に向いたサービスかどうかも検討する必要があります。二段階認証の種類によって、ユーザーの利便性やリスク、実装のしやすさなどは異なりますので、企業・サービスに合った方法を選ぶと良いでしょう。

選んだ認証方法ごとに導入手順は異なりますので、実装の確認をしっかり行い、ミスなく機能するように準備を進 めましょう。