マルチファクタ認証（MFA）の基本的な考え方
マルチファクタ認証は、ログインなどの手続きで「1種類の情報」ではなく、複数の種類の認証要素を使って本人確認を行う方式です。基本の狙いは、攻撃者がいずれか1つの要素を入手しても、他の要素を満たせない限り認証を成功させにくくすることにあります。
仕組み：認証要素を組み合わせて判定する
一般的には、次のような流れで動作します。
- ユーザーはまずID（例：メールアドレスやユーザー名）を提示します。
- サービスは追加の認証要素を要求します。
- ユーザーは要求された要素を提供し、サービス側がそれが正しいかを検証します。
- すべての必要要素が満たされると認証が完了します。
認証要素は、たとえば「知識（暗証番号やパスワード）」「所持（スマートフォンの認証アプリ、ハードウェアキーなど）」「生体（指紋など）」「所在や通信の前提」などに分類されることがあります。具体的にどの要素を組み合わせるか、どの順序で要求するか、どれが必須かはサービスごとの設計に依存します。そのため、同じ「MFA」でも強さや体験は一様ではありません。
よくある構成例と注意点
マルチファクタ認証でよく見かける組み合わせとしては、パスワードに加えて認証アプリのワンタイムコードや、別のデバイスでの承認を求める形があります。生体が使われる場合もあります。
一方で注意点もあります。認証要素が「どれだけ独立しているか」が重要です。たとえば、攻撃者がユーザーの連絡経路に介入できる状況では、要素の独立性が崩れて強度が下がることがあります。また、回復手段（アカウント復旧のための手続き）が別ルートになっている場合、回復ルートの強度が全体の安全性に影響します。