いろいろなサイトやサービスで『２段階認証』という言葉を目にすることも多くなってきたのではないでしょうか？
「２段階認証」は不正なログインへの対策として効果が期待できる認証方法のひとつです。
この記事では「２段階認証」とは何なのか、セキュリティリスクに対してどのような有効性があるのかについて説明していきます。
また同じような名称で「２要素認証」という認証方法もあります。
名前は似ていますが中身は別のものです。
「２段階認証」と「２要素認証」の違いについても合わせて解説していきます。
２段階認証とは
システムやサービス、サイトにログインするときに２段階で認証する方式を２段階認証といいます。
例えばサイトにアクセスして、ログイン画面でIDとパスワードを入力すればログイン完了というのは１段階の認証です。
IDとパスワードでの認証に成功（１段階目）したあと、さらに秘密の質問に対して答えを入力して認証に成功（２段階目）すればログイン完了というのが２段階認証です。
２要素認証との違い
「２段階認証」と同じく「２要素認証」という言葉もよく聞くのではないでしょうか。
２要素認証は２段階認証とは全く別のものです。
２要素認証とは何なのか、２段階認証と２要素認証の違いについて説明していきます。
２要素認証とは
２要素認証とは、種類が異なる認証要素を２つ組み合わせて行う認証方式のことです。
認証要素とは “どんなものを使って認証するか” ということです。
３つの認証要素
まず認証要素にはどんなものがあるのか見ていきましょう。
認証要素には次の３つがあります。
「記憶」要素
「記憶」要素は知識情報とも呼ばれ、「本人だけが記憶していること・知っていること」を認証に用います。
例えば、IDやパスワード、秘密の質問・答えなどが「記憶」要素に該当します。
「所持」要素
「所持」要素とは「本人だけが所持しているもの」を認証に用います。
例えば、PC、スマートフォン、キャッシュカードなどが「所持」要素に該当します。
「生体情報」要素
「生体情報」要素とは「本人だけが持つ身体的特徴」を認証に用います。
例えば、指紋や顔、静脈などの情報が「生体情報」要素に該当します。
認証要素の組み合わせ
このように認証要素には「記憶」「所持」「生体情報」の３つがあります。
これら３つの認証要素のうち２つを組み合わせて行う認証が２要素認証です。
例えば、IDとパスワード（「記憶」）での認証と、スマートフォンに送られる認証コード（「所持」）での認証を行う場合は２要素認証になります。
スマートフォンに送られる認証コードは、スマートフォンを “所持” している本人しか受け取ることができないので「所持」要素に該当します。
もっと身近な例だと、銀行のATMでお金を出金するときもキャッシュカード（「所持」）と暗証番号（「記憶」）が必要になるので２要素認証です。
２つ以上の認証要素を組み合わせる場合を「多要素認証」と呼ぶこともあります。
２段階認証と２要素認証
ここまで説明してきた通り、２段階認証と２要素認証は別のものです。
２段階認証は２段階で行う認証のことで、認証要素の数は問われません。
一方、２要素認証は２つの認証要素を組み合わせて行う認証のことで、認証段階の数は問われません。
このように「認証段階の数」と「認証要素の数」は分けて考える必要があります。
例えば、IDとパスワード（「記憶」）で認証（１段階目）したあと、さらに秘密の質問に対して答え（「記憶」）を入力して認証（２段階目）する場合は、２段階で認証を行っていますが、認証要素は「記憶」だけしか用いられていないので１要素ということになります。（２段階認証＋１要素認証）
IDとパスワード（「記憶」）で認証（１段階目）したあと、スマートフォンに送られる認証コード（「所持」）を入力して認証（２段階目）する場合であれば、認証要素は「記憶」と「所持」を用いることになるので２要素ということになります。（２段階認証＋２要素認証）
主流は２要素認証
現在、ログイン時のセキュリティ対策として有効性が高いとされているのは２要素認証です。
つまり重要なのは認証段階の数よりも認証要素の数ということです。
なぜなら２段階認証だけを考えるとあまりセキュリティ強度は高くありません。
例えば、IDとパスワードが漏洩したり推測されてしまうような状況では、いくら２段階になったからとは言え、秘密の質問・答えも簡単に漏洩したり推測されたりする危険性があるからです。
この場合、「記憶」要素が盗まれるような状況でいくら認証段階を増やしても、同じ「記憶」要素だけに頼っていてはセキュリティ強度は上がらないということです。
一方、IDとパスワードで認証したあと、スマートフォンに認証コードが送られてくる２要素認証の場合はどうでしょうか？
IDとパスワードは簡単に入手したり推測したりできたとしても、認証コードが送られてくるスマートフォンまで同時に盗むことはなかなか簡単ではありません。
このように認証段階の数よりも認証要素の数を重要視すべきです。
「２段階認証対応」となっているサービスやサイトでも、認証段階の数だけでなく「２要素認証」に対応しているか確認するようにしましょう。
ただ、２要素認証の重要性というのは一般的に認識されつつあり、大手のサービスやサイトではすでに２要素認証に対応しています。
GoogleアカウントやMicrosoftアカウント、Dropboxなどでは「２段階認証」という名称で呼ばれていますが、中身としては「２段階認証＋２要素認証」になっていますので安心して設定できるかと思います。
最近では、
「２段階認証」 ＝ 「２段階認証＋２要素認証」
というのが主流になってきていますので、「２段階認証」としか書かれていなくても中身としては「２要素認証」になっていることがほとんどです。
２段階認証（２要素認証）の有効性
２段階認証（２要素認証）を導入したからと言って「100%安全」とは言えませんが、悪意を持った第三者による不正ログインに対して高い効果が期待できます。
不正ログインとは、簡単に言えば、あなたではない誰かが、あなたのアカウントやあなたが使っているサイトに、あなたのログイン情報を使って勝手にログインするということです。
このように勝手にログインされたらどうなるでしょうか？
- あなたしか見れないデータやメールの内容にアクセスされる
- 登録しているクレジットカードや銀行口座の情報が盗まれてしまう
- SNSであなたになりすまして情報発信されてしまう
- 不正ログイン後すぐにパスワード変更されあなた自身がログインできなくなる
簡単に思いつくだけでもこれだけの被害が考えられます。
ログイン時のパスワードを設定するだけではセキュリティ対策として限界があります。
数字と英字を使った６文字程度のパスワードでは “数分” で解読されてしまうというデータもあります。
また、パスワードとしてよく使われるワードで攻撃してきたり、辞書に載っているようなワードで攻撃してきたりする場合もあります。
複雑で桁数が多いパスワードを設定することは重要ですが、それだけでは不安が残る対策と言わざるを得ません。
このようなログイン時のセキュリティ対策として２段階認証（２要素認証）が有効な手段になってきます。
２段階認証（２要素認証）が導入されていれば、万が一、IDとパスワードなどのログイン情報が漏洩したとしても、２段階目（２要素目）の認証で不正なログインを阻止することが可能になるからです。
例えば、２段階目の認証コードがスマートフォンに送られるように設定されていれば、次のイメージのように不正なログインを防ぐことができます。
２段階認証はどのアカウントに設定すればいいのか？
IDとパスワードを登録するようなサービスやサイト、アカウントなどはすでにたくさん使っているのではないでしょうか？
２段階認証に対応しているサービスやサイトなら２段階認証を設定するのが理想ですが、持っているすべてのアカウントに対して２段階認証を設定していたらログインするときの手間が増えて大変です。
そんなときはあなたが使っているサービスやサイトの重要度を考えてみましょう。
一般的に次のようなものは重要度が高いサービスやサイトと考えられます。
- メールサービス（GmailやYahoo!メールなど）
- クラウドストレージ（Googleドライブ、iCloud、Dropboxなど）
- インターネットバンキング
- クレジットカード会社のサイト
- クレジットカード情報や口座情報が登録されているサイト（ネットショッピングサイトなど）
- SNSサービス（Twitterなど）
- スマホなどのデバイスと連携しているアカウント（Apple IDやGoogleアカウント）
- 仕事の情報が含まれているサービスやサイト
- 自分が管理しているWebサイト（WordPressなど）
ここで挙げたものが、失いたくないデータや人に見られたくない情報だと思います。
また、これらのサービスやサイトに不正にログインされると被害が大きくなるアカウントでもあります。
まずはこの辺りを中心に２段階認証の導入を検討すると良いと思います。
まとめ
「２段階認証」とは何なのか、「２要素認証」との違いについて解説しました。
２段階認証とは
- ログインするときに２段階で認証する方式
２要素認証との違い
- ２段階認証は２段階で行う認証のこと
- ２要素認証は２つの認証要素を組み合わせて行う認証のこと
- セキュリティ対策として有効性が高いとされているのは２要素認証
- 「２段階認証」 ＝ 「２段階認証＋２要素認証」 が主流
２段階認証（２要素認証）の有効性
- ログイン情報が漏洩したとしても、２段階目（２要素目）の認証で不正なログインを阻止することが可能
２段階認証はどのアカウントに設定すればいいのか？
- 使っているサービスやサイトの重要度を考えて２段階認証の導入を検討する
ここまで説明してきた通り、認証部分を強化するためには２段階認証（２要素認証）はとても有効な手段です。
しかしさまざまなセキュリティの脅威を防ぐためには、セキュリティ対策の基本を確実に行い、認証部分の強化以外にもトータル的な対策を実施しましょう。
