いまさら聞けない多要素認証（1）多要素認証の概要

みなさんこんにちは。日本情報システム株式会社 ICTソリューション部の進藤です。
今回から、多要素認証についてご紹介していきます。

概要
認証の要素
まとめ

概要

多要素認証とは、本人確認をする要素が複数であることをいいます。
まんまですね。
おそらく、ほとんどの方が経験しているものです。
身近な例では、ATMでお金を引き出す際に用いられています。お金を引き出すときに必要なものは、【キャッシュカード】と【暗証番号】の2つになります。キャッシュカードのみ、または暗証番号のみではお金は引き出せません。両方が揃って初めてお金が引き出せます。これが多要素認証です。

多要素認証（英：Multi-Factor Authentication）とは、利用者の本人認証時に「複数の要素を用いて確認する」ことをいう。一般的な認証には「ID」と「パスワード」の組み合わせが広く使われているが、何らかの方法でこれらを他人に取得されてしまうと、本人に「なりすまし」て、システムやネットワークにログインされてしまう危険性がある。そのため、IDとパスワード以外に、別の認証要素を組み合わせることで、なりすましのリスク低減を図る。
多要素認証 | キーワード事典 | マルウェア情報局
http://canon-its.jp/eset/malware_info/term/ta/006.html

認証の要素

本人確認の要素として、その人固有の情報（固有情報）でなければあまり意味がありません。
固有情報は、主に生体情報、所持情報、知識情報に分類され、これらを【認証の3要素】といいます。

生体情報	利用者自身の特性。顔認識・指紋・声紋・虹彩・静脈認証など。
所持情報	利用者が持っているもの。 ICカード・ハードウェアトークン・携帯電話など
知識情報	利用者のみ知っている情報。パスワード・秘密の質問・ワンタイムパスワードなど

3要素については次回以降詳しくご紹介しますが、この3つの要素のいずれかを組み合わせることにより多要素認証となります。ひとつの要素内で、複数回の認証を行えばその分セキュリティは担保されますが、それは多要素認証とは言い切れません。パスワードとシークレットコードを打つような認証がありますが、これは「多段階認証」という言葉のほうが適切ですね。（最近ではどちらも同じ意味合いで使われているものなので、そこまで気にして使い分ける必要もありませんが。。）
さまざまなシステムでは、いまだに「ID+パスワード」の組み合わせが用いられています。どちらも本人が記憶してる情報（知識情報）を入力することで、認証します。万が一、「ID+パスワード」が他人に盗まれてしまった場合は、もちろん盗んだ人も認証に成功してしまいます。
「ID+パスワード」という要素（知識情報）に、指紋認証の要素（生体情報）を追加した場合、「ID+パスワード」が知られても、本人の指紋がなければ認証されることはありません。
多要素認証は、上記の例のように複数の要素を組み合わせてセキュリティレベルを上げるのが目的です。