多要素認証（MFA）の定義と目的

多要素認証（MFA）は、ログインや重要操作の前に、少なくとも複数の種類の「要素」を用いて本人確認を行う考え方です。目的は、パスワードのような単一要素が漏えい・推測されても、追加の要素によって不正ななりすましを成立しにくくすることにあります。

仕組み：要素の種類と基本モデル

MFAは一般に、次のような要素の組み合わせで構成されます。

  • 知識（例：パスワード、暗証番号）
  • 所持（例：認証アプリ、ワンタイムコード生成機、ハードウェアトークン）
  • 生体（例：指紋、顔認証）

基本的な流れは、認証時にサービス側が「複数の要素で確認する」ことを要求し、利用者がそれらを順に提示して通過する形です。どの要素を組み合わせるか、また一度通過した後にどこまで再確認するかは、サービスごとの設計・設定によって異なります。

制限と注意点：強度は“要素の種類”と“運用”で変わる

MFAは万能ではありません。影響するポイントを押さえると、理解が実務に結びつきます。

  1. 要素の種類が実質的に同じになっていないか 例えば「パスワード＋同じ端末で同じ経路のワンタイムコード」のように、攻撃者が同時に奪えうる条件が重なっていると、期待した抑止力が下がる場合があります。強度は「要素の独立性（攻撃者が同時に用意しにくいか）」に左右されます。

  2. 迂回経路（復旧手段）が残っていないか MFAの復旧（紛失・端末変更時の再設定）には、別の確認フローが用意されがちです。復旧手段が簡易すぎる、あるいは条件が弱いと、攻撃者がそこを狙ってしまう可能性があります。ここは、実際の手順を確認して理解しておく価値があります。

  3. “求められる回数”と“再確認の範囲” MFAは毎回必ず同じ形で要求されるとは限りません。一定時間の再認証免除、特定デバイスの記憶、重要操作のみ追加要求など、運用ルールで挙動が変わります。自分にとって重要な操作で確実に再確認されるか、という観点が重要です。

実践的な確認方法：設定の挙動をテストして理解する

MFAを「設定したつもり」にならないために、次の確認が役に立ちます。