多要素認証

多要素認証( MFA、 2要素認証、2FA、類似の用語) は、ユーザーが認証メカニズムに 2 つ以上の証拠 (または要素) を正しく提示した場合にのみ、Web サイトまたはアプリケーションへのアクセスを許可する電子認証方法です。MFAは、個人識別情報や金融資産を含む可能性のある個人データを、たとえば単一のパスワードを発見できる可能性のある権限のない第三者によるアクセスから 保護します。

近年、MFAの使用は増加していますが、MFAが完全に安全であることを保証するのを困難にする脅威が数多く存在します。^[1]

認証は、誰かがコンピュータ リソース (コンピュータ ネットワーク、デバイス、アプリケーションなど)にログインしようとするときに行われます。リソースは、ユーザーがリソースに知られている ID と、その ID に対するユーザーの主張の信頼性の証拠を提供するようユーザーに要求します。単純な認証では、そのような証拠 (要素) が 1 つだけ必要で、通常はパスワードです。セキュリティを強化するために、リソースは複数の要素 (多要素認証、または正確に 2 つの証拠を提供する場合は 2 要素認証) を要求する場合があります。^[2]

複数の認証要素を使用して本人確認を行うのは、権限のない者がアクセスに必要な要素を提供できる可能性は低いという前提に基づいています。認証の試行で、少なくとも 1 つの要素が欠落しているか、誤って提供されている場合、ユーザーの身元は十分な確実性を持って確立されず、多要素認証によって保護されている資産 (建物やデータなど) へのアクセスはブロックされたままになります。多要素認証スキームの認証要素には、次のものが含まれます。^[3]

• ユーザーが所有するもの:セキュリティ トークン( USB スティック)、銀行カード、鍵など、ユーザーが所有する物理的なオブジェクト。
• ユーザーが知っていること:パスワード、PIN、PUKなど、ユーザーのみが知っている特定の知識。
• ユーザーに関する情報:指紋、目の虹彩、声、タイピング速度、キーを押す間隔のパターンなど、ユーザーの身体的特徴 (生体認証)。

二要素認証の例としては、 ATMからの現金の引き出しが挙げられます。銀行カード（ユーザーが所有するもの）とPIN（ユーザーが知っているもの）の正しい組み合わせによってのみ、取引を実行できます。他の2つの例としては、ユーザーのみが所有する認証装置（セキュリティトークンやスマートフォンなど）によって生成または受信されるワンタイムパスワード（OTP）またはコードで、ユーザーが管理するパスワードを補足することが挙げられます。^[4]

サードパーティの認証アプリは、通常、 SMSを送信したり別の方法を使用するのではなく、ユーザーが使用できるランダムに生成され、常に更新されるコードを表示することで、異なる方法で2要素認証を有効にします。^[5]

知識要素は認証の形式です。この形式では、ユーザーは認証するために秘密に関する知識を証明する必要があります。

パスワードは、ユーザー認証に使用される秘密の言葉または文字列です。これは、最も一般的に使用される認証メカニズムです。^[3]多くの多要素認証技術は、認証の1つの要素としてパスワードに依存しています。そのバリエーションには、複数の単語で構成される長いもの（パスフレーズ）と、 ATMアクセスによく使用される短い数字のみのPINがあります。伝統的に、パスワードは記憶されることが想定されていますが、隠された紙やテキストファイルに書き留めることもできます。

所有要素 (「ユーザーだけが持っているもの」) は、鍵の形で何世紀にもわたって認証に使用されてきました。基本原理は、鍵が鍵と鍵の間で共有される秘密を具体化するというものであり、同じ原理がコンピュータ システムの所有要素認証の基礎となっています。セキュリティ トークンは、所有要素の例です。

切断型トークンはクライアントコンピュータに接続されていません。通常、組み込みの画面を使用して、ユーザーが手動で入力した生成された認証データを表示します。このタイプのトークンは、ほとんどの場合、特定のセッションでのみ使用できるOTP を使用します。 ^[6]

コネクテッドトークンは、使用するコンピュータに物理的に接続されるデバイスです。これらのデバイスはデータを自動的に送信します。 ^{[7] USBトークン、}スマートカード、ワイヤレスタグなど、さまざまな種類があります。^[7] FIDOアライアンスとワールドワイドウェブコンソーシアム（W3C）によってサポートされているFIDO2対応トークンは、2015年から主流のブラウザでサポートされ、ますます普及しています 。

ソフトウェア トークン(別名ソフト トークン) は、コンピュータ サービスの使用を承認するために使用できる 2 要素認証セキュリティ デバイスの一種です。ソフトウェア トークンは、デスクトップ コンピュータ、ラップトップ、PDA、携帯電話などの汎用電子デバイスに保存され、複製できます。(資格情報が専用のハードウェア デバイスに保存されるため、デバイスに物理的に侵入しない限り複製できないハードウェア トークンとは対照的です)。ソフト トークンは、ユーザーが操作するデバイスではない場合があります。通常、この目的を果たすために、X.509v3 証明書がデバイスに読み込まれ、安全に保存されます。^{[引用が必要]}

多要素認証は、物理的なセキュリティ システムにも適用できます。これらの物理的なセキュリティ システムは、アクセス制御として知られ、一般的にアクセス制御と呼ばれています。多要素認証は、通常、まず識別資格情報として機能する物理的な所有物 (フォブ、キーカード、デバイスに表示されるQR コードなど) を使用し、次に顔の生体認証や網膜スキャンなどの本人確認を行うことで、アクセス制御システムに導入されます。この形式の多要素認証は、一般的に顔検証または顔認証と呼ばれています。

これらはユーザーに関連付けられた要素であり、通常は指紋、顔、^[8]音声、または虹彩認識などの生体認証方法です。キーストロークダイナミクスなどの行動生体認証も使用できます。

ユーザーの物理的な場所に関わる第 4 の要素がますます重要になっています。企業ネットワークに有線接続されている場合、ユーザーは PIN コードのみを使用してログインできます。一方、ユーザーがネットワークに接続していない場合やリモートで作業している場合は、ソフト トークンからのコード入力など、より安全な MFA 方法も必要になります。ユーザーの場所に合わせて MFA 方法の種類と頻度を調整することで、リモート ワークに共通するリスクを回避できます。^[9]

ネットワーク アドミッション コントロールのシステムも同様に機能し、ネットワーク アクセスのレベルは、Wi-Fiと有線接続など、デバイスが接続されている特定のネットワークに応じて異なります。これにより、ユーザーはオフィス間を移動しても、各オフィスで同じレベルのネットワーク アクセスを動的に受け取ることができます^{[明確化が必要]}。^{[引用が必要]}

テキストメッセージによる2要素認証は、AT&Tが双方向ポケベルによるコード交換に基づいて取引を承認するシステムを説明した1996年に早くも開発されました。^{[10] [11]}

多くの多要素認証ベンダーは、携帯電話ベースの認証を提供しています。その方法には、プッシュベースの認証、QR コードベースの認証、ワンタイム パスワード認証 (イベントベースおよび時間ベース)、SMS ベースの検証などがあります。SMS ベースの検証には、セキュリティ上の懸念があります。携帯電話は複製可能であり、アプリは複数の携帯電話で実行でき、携帯電話の保守担当者は SMS テキストを読むことができます。さらに、携帯電話は一般に侵害される可能性があり、携帯電話はもはやユーザーだけが所有するものではなくなります。

ユーザーが所有しているものを含む認証の主な欠点は、ユーザーが物理的なトークン（USB スティック、銀行カード、鍵など）をほぼ常に持ち歩かなければならないことです。紛失や盗難のリスクがあります。多くの組織では、マルウェアやデータ盗難のリスクがあるため、USB や電子機器を建物内外に持ち込むことを禁止しており、同じ理由から、ほとんどの重要なマシンには USB ポートがありません。物理的なトークンは通常、拡張できず、通常、新しいアカウントやシステムごとに新しいトークンが必要になります。この種のトークンの調達とその後の交換にはコストがかかります。さらに、使いやすさとセキュリティの間には、本質的な矛盾と避けられないトレードオフがあります。^[12]

携帯電話やスマートフォンを使った二段階認証は、専用の物理デバイスに代わる手段です。認証には、デバイスへの個人アクセスコード（つまり、ユーザー本人だけが知っているもの）と、通常4～6桁の1回限り有効な動的パスコードを使用します。パスコードは、SMSでモバイルデバイスに送信したり^、ワンタイムパスコード生成アプリで生成したりできます。どちらの場合も、携帯電話を使用する利点は、ユーザーが常に モバイルデバイスを持ち歩く傾向があるため、追加の専用トークンが不要であることです。

SMS認証の人気にもかかわらず、セキュリティ擁護者はSMS認証を公に批判しており^[13]、2016年7月には米国NISTのガイドライン草案で認証方法としてSMS認証を廃止することが提案されました。^[14] 1年後、NISTは最終版ガイドラインでSMS認証を有効な認証チャネルとして復活させました。^[15]

2016年と2017年には、GoogleとAppleの両社が代替手段としてプッシュ通知による2段階認証の提供を開始した^{[3] 。 [16] [17]}

モバイル配信セキュリティトークンのセキュリティは、モバイルオペレータの運用セキュリティに完全に依存しており、国家安全保障機関による盗聴やSIMの複製によって簡単に侵害される可能性があります。^[18]

利点:

• （通常）常に持ち運ばれるモバイル デバイスを使用するため、追加のトークンは必要ありません。
• 動的に生成されるパスコードは常に変更されるため、固定（静的）ログイン情報よりも安全に使用できます。
• ソリューションによっては、有効なコードが常に使用可能であることを保証するために、使用されたパスコードが自動的に置き換えられるため、送信/受信の問題によってログインが妨げられることはありません。

デメリット:

• ユーザーは依然としてフィッシング攻撃の影響を受ける可能性があります。攻撃者は、実際のウェブサイトと全く同じように見える偽のウェブサイトへのリンクを含むテキストメッセージを送信できます。攻撃者は認証コード、ユーザー名、パスワードを入手できます。^[19]
• 携帯電話は常に利用できるとは限りません。紛失したり、盗まれたり、電池が切れたり、その他の理由で機能しなくなったりすることもあります。
• 人気が高まっているにもかかわらず、モバイル デバイスを所有していないユーザーもおり、自宅の PC で何らかのサービスを利用するのにモバイル デバイスを所有することが求められることに憤慨している場合があります。
• 携帯電話の受信は常に利用できるとは限りません。特に町の外の広い地域では、電波が届きません。
• SIMの複製により、ハッカーは携帯電話の接続にアクセスできるようになります。携帯電話会社に対するソーシャルエンジニアリング攻撃により、複製されたSIMカードが犯罪者に渡される事態が発生しています。 ^[20]
• SMSを使用した携帯電話へのテキストメッセージは安全ではなく、 IMSIキャッチャーによって傍受される可能性があります。そのため、第三者がトークンを盗んで使用することができます。^[21]
• アカウントの回復は通常、携帯電話の2要素認証を回避します。^{[2] [検証に失敗]}
• 現代のスマートフォンは、電子メールと SMS の両方の受信に使用されます。そのため、携帯電話が紛失または盗難に遭い、パスワードや生体認証で保護されていない場合、携帯電話は 2 番目の要素を受信できるため、電子メールがキーとなっているすべてのアカウントがハッキングされる可能性があります。
• モバイル通信事業者はユーザーにメッセージング料金を請求する場合があります。

ペイメントカード業界（PCI）データセキュリティ基準の要件8.3では、ネットワーク外部からカードデータ環境（CDE）へのすべてのリモートネットワークアクセスにMFAの使用が義務付けられています。^[22] PCI-DSSバージョン3.2以降では、ユーザーが信頼できるネットワーク内にいる場合でも、CDEへのすべての管理アクセスにMFAの使用が義務付けられています。

第2次決済サービス指令では、2019年9月14日以降、欧州経済領域におけるほとんどの電子決済に対して「強力な顧客認証」が義務付けられています^。[23]

インドでは、インド準備銀行がデビットカードまたはクレジットカードを使ったすべてのオンライン取引に、パスワードまたはSMSで送信されるワンタイムパスワードを使用した2要素認証を義務付けました。この要件は、発行銀行でオプトインした後、2,000ルピーまでの取引では2016年に削除されました。^[24] Uberなどのベンダーは、この2要素認証の展開に準拠して支払い処理システムを修正するように銀行から義務付けられています。^{[25] [26] [27]}

米国の連邦政府職員および請負業者の認証の詳細は、国土安全保障大統領指令12（HSPD-12）に規定されている。^[28]

連邦政府システムへのアクセスに関するIT規制基準では、機密性の高いITリソースにアクセスするために多要素認証を使用することが義務付けられており、例えば、管理タスクを実行するためにネットワークデバイスにログオンする場合^[29]や、特権ログインを使用して任意のコンピュータにアクセスする場合などです^{[30] 。}

NIST特別刊行物800-63-3では、2要素認証のさまざまな形式について説明し、さまざまなレベルの保証を必要とするビジネスプロセスでそれらを使用するためのガイダンスを提供しています。^[31]

2005 年、米国の連邦金融機関検査評議会は金融機関向けのガイダンスを発行し、金融機関がリスクベースの評価を実施し、顧客認識プログラムを評価し、オンライン金融サービスにリモートアクセスする顧客を確実に認証するためのセキュリティ対策を開発することを推奨し、ユーザーの身元を特定するために複数の要素 (具体的には、ユーザーが知っていること、所有していること、およびユーザー自身) に依存する認証方法の使用を公式に推奨しました。^[32]この発行に応えて、多くの認証ベンダーが、チャレンジ質問、秘密の画像、およびその他の知識ベースの方法を「多要素」認証として不適切に宣伝し始めました。その結果生じた混乱とそのような方法が広く採用されたため、2006 年 8 月 15 日に FFIEC は補足ガイドラインを発行しました。このガイドラインでは、定義上、「真の」多要素認証システムは、定義した 3 つの認証要素の個別のインスタンスを使用する必要があり、単一の要素の複数のインスタンスを使用するだけではいけないと規定されています。^[33]

支持者によると、多要素認証は、被害者のパスワードだけでは犯人が情報に永久にアクセスできなくなるため、オンライン個人情報盗難やその他のオンライン詐欺の発生を大幅に減らすことができるという。しかし、多くの多要素認証アプローチは、フィッシング、^[34]、 マン・イン・ザ・ブラウザ攻撃、および中間者攻撃に対して脆弱なままである。^[35] Webアプリケーションにおける2要素認証は、特にSMSや電子メールでのフィッシング攻撃を受けやすく、その対策として、多くの専門家はユーザーに確認コードを誰とも共有しないようアドバイスしており、^[36]多くのWebアプリケーションプロバイダーは、コードを含む電子メールやSMSにアドバイスを掲載する。^[37]

多要素認証は、ATMスキミング、フィッシング、マルウェアなどの現代の脅威に対しては効果がない可能性がある^{[38] 。 [39]}

2017年5月、ドイツのモバイルサービスプロバイダーであるO2テレフォニカは、サイバー犯罪者がSS7の脆弱性を悪用してSMSベースの2段階認証を回避し、ユーザーの銀行口座から不正に引き出しを行ったことを確認しました。犯罪者はまず口座保有者のコンピューターを感染させ、銀行口座の認証情報と電話番号を盗もうとしました。次に、攻撃者は偽の通信プロバイダーへのアクセスを購入し、被害者の電話番号を自分たちが管理する携帯電話にリダイレクトするように設定しました。最後に、攻撃者は被害者のオンライン銀行口座にログインし、口座のお金を犯罪者が所有する口座に引き出すように要求しました。SMSパスコードは攻撃者が管理する電話番号にルーティングされ、犯罪者はお金を送金しました。^[40]

MFAを破るためのますます一般的なアプローチは、ログインを受け入れるためのリクエストをユーザーに大量に送りつけ、最終的にユーザーがリクエストの量に屈して1つを受け入れるようになるというものです。^[41]

多くの多要素認証製品では、多要素認証システムを機能させるために、ユーザーがクライアント ソフトウェアを展開する必要があります。一部のベンダーは、ネットワークログイン、Webアクセス資格情報、VPN接続資格情報用に個別のインストール パッケージを作成しています。このような製品では、トークンまたはスマート カードを利用するために、クライアントPCにプッシュダウンするソフトウェアパッケージが4 つまたは 5 つある場合があります。つまり、バージョン管理を実行する必要があるパッケージが 4 つまたは 5 つ、ビジネス アプリケーションとの競合をチェックするパッケージが 4 つまたは 5 つあることになります。Webページを使用してアクセスを操作できる場合は、上記のオーバーヘッドを 1 つのアプリケーションに制限できます。ハードウェア トークン製品などの他の多要素認証テクノロジでは、エンド ユーザーがソフトウェアをインストールする必要はありません。^{[引用が必要]}

多要素認証には欠点があり、多くのアプローチが普及するのを妨げています。一部のユーザーは、ハードウェア トークンまたは USB プラグを追跡するのが困難です。多くのユーザーは、クライアント側のソフトウェア証明書を自分でインストールするために必要な技術的スキルを持っていません。一般に、多要素ソリューションには、実装のための追加投資とメンテナンスのコストが必要です。ほとんどのハードウェア トークン ベースのシステムは独自のものであり、一部のベンダーはユーザーごとに年間料金を請求します。ハードウェア トークンの展開はロジスティック的に困難です。ハードウェアトークンは破損または紛失する可能性があり、銀行などの大規模な業界や大企業内でもトークンの発行を管理する必要があります。展開コストに加えて、多要素認証には多くの場合、大幅な追加サポート コストがかかります。^[要出典] Credit Union Journalによる2008 年の120 を超える米国の信用組合の調査^[42]では、2 要素認証に関連するサポート コストが報告されています。レポートでは、ソフトウェア証明書とソフトウェア ツールバー アプローチ^[要説明]のサポート コストが最も高いと報告されています。

多要素認証スキームの導入に関する研究^[43]によると、このようなシステムの採用に影響を与える傾向にある要素の 1 つは、多要素認証システムを導入する組織の事業分野です。例としては、物理的なトークン (それ自体が堅牢な公開鍵インフラストラクチャによって裏付けられています) の複雑なシステムを採用している米国政府や、顧客所有のスマートフォンにインストールされたアプリなど、よりアクセスしやすく安価な本人確認手段を伴う多要素認証スキームを顧客に対して好む傾向がある民間銀行などがあります。組織が選択しなければならない利用可能なシステムにはさまざまなものがありますが、組織内に多要素認証システムが一度導入されると、ユーザーは必ずそのシステムの存在と使用に慣れ、関連する情報システムとの日常的なやり取りのプロセスの標準化された要素として時間とともに受け入れるため、そのシステムはそのまま残る傾向があります。

多要素認証は完璧なセキュリティの範囲内であるという認識があるが、ロジャー・グライムズは^[44]、適切に実装および構成されていない場合、多要素認証は実際には簡単に破られる可能性があると書いている。

2013年、キム・ドットコムは2000年の特許で2要素認証を発明したと主張し、^[45]主要なウェブサービスすべてを訴えると一時脅した。しかし、欧州特許庁は、AT&Tが保有する1998年の米国特許を考慮して、彼の特許を取り消した^{[46] 。 [47]}

• 認証要素
• 電子認証
• アイデンティティ管理
• 複数当事者の承認
• 相互認証
• 帯域外
• リライアンス認証
• 強力な認証
• ユニバーサルセカンドファクター
• アイデンティティ脅威の検出と対応

• TwoFactorAuth.org - TwoFactorAuth.org - 2FA とその内容に関する詳細なオンライン リソース
• 攻撃者は RSA のサーバーに侵入し、4,000 万人の従業員が使用する 2 要素認証トークンのセキュリティを侵害する可能性のある情報を盗みました (register.com、2011 年 3 月 18 日)
• 銀行は2006年末までに2要素認証を導入予定 (slashdot.org、2005年10月20日)
• Microsoft がパスワードを廃止へ、Microsoft はWindows の次期バージョンでパスワードを廃止し、2 要素認証を導入する準備中 (vnunet.com、2005 年 3 月 14 日)