IT用語集 2023/10/20

二要素認証（2FA）とは？わかりやすく10分で解説

コラム

UnsplashのAccurayが撮影した写真

二要素認証（2FA）は、知識・所持・生体のうち、種類の異なる2つの要素で本人確認する認証方式です。IDとパスワードのように情報が2つあっても、同じ知識要素どうしなら2FAには当たりません。2FAの役割は、パスワード漏えいや使い回しだけでアカウントが突破される状態を減らすことにあります。その一方で、方式によってフィッシング詐欺への強さ、復旧のしやすさ、現場での運用負荷が変わるため、導入時は方式選定と例外対応を分けて考えたほうが整理しやすくなります。

二要素認証（2FA）とは

二要素認証（2FA）は、ログインや重要操作のときに、異なる種類の2要素で本人確認を行う方式です。パスワードだけに依存する方式より、第三者が突破しにくくなります。特に、パスワード漏えい、使い回し、推測、パスワードリスト攻撃の影響を受けやすい環境では、認証の底上げとして導入効果を出しやすくなります。

認証要素の分類

知識要素	本人だけが知っている情報です。パスワード、PIN、秘密の質問などが該当します。
所持要素	本人が持っている物です。スマートフォン、ハードウェアトークン、ICカードなどが該当します。
生体要素	生体認証に使う要素です。指紋、顔、虹彩などが代表例です。

たとえば「ID＋パスワード」は見た目では2つの情報ですが、どちらも知識要素です。この組み合わせは二要素認証ではありません。一方で、パスワードに加えてワンタイムパスワードや端末承認を使うなら、知識要素と所持要素の組み合わせになるため2FAとして成立します。

2FAと多要素認証（MFA）の違い

2FAは、多要素認証（MFA）の一部です。違いは要素数にあります。2FAは異なる2要素、MFAは異なる2要素以上を使う方式です。実務では、2FAもMFAの一種として説明されることがありますが、「2つで固定なのか」「将来3要素以上や追加条件まで広げる設計なのか」で運用の考え方が変わります。

2FA	異なる2要素で認証します。導入しやすく、パスワード依存の弱点を減らす第一段階として使いやすい方式です。
MFA	異なる2要素以上を使う考え方です。利用者、端末、アクセス元、操作内容に応じて追加認証を求める設計まで含めやすくなります。

記事や製品資料では、2FAとMFAがほぼ同義のように扱われることがあります。導入判断の場面では、固定の2要素で足りるのか、管理者や高リスク操作だけ要件を上げるのかを先に決めたほうが混乱しにくくなります。

代表的な2FAの方式

よく使われる組み合わせ

パスワード＋認証アプリ	パスワードに加え、スマートフォンの認証アプリで生成したコードを入力する方式です。導入しやすく、SMSより制御しやすい場面が多くあります。
パスワード＋プッシュ承認	スマートフォンへ通知を送り、承認操作でログインを完了させる方式です。入力の手間は減りますが、無差別な承認要求に反応させる攻撃への対策も要ります。
パスワード＋SMS	SMS認証は導入しやすい反面、SIMスワップや着信環境の制約、フィッシング耐性の面では慎重に評価したほうがよい方式です。
ICカード＋PIN	所持要素と知識要素の組み合わせです。社内端末や物理配布前提の環境では運用しやすい一方、配布・再発行・紛失対応の設計が必要になります。
FIDO2系	FIDO2のセキュリティキーや端末認証器を使う方式です。フィッシング耐性を高めやすく、重要アカウントに向く構成として採用しやすくなっています。