多要素認証（MFA）とは何か、またその仕組みはどのようなものか？

多要素認証（MFA）とは、アプリケーション、オンラインアカウント、VPNなどのリソースにアクセスする際、ユーザーに2つ以上の認証要素の提示を求める認証方式です。MFAは、強固なIDおよびアクセス管理（IAM）ポリシーの核心となる要素です。 MFAでは、単にユーザー名とパスワードを要求するだけでなく、1つ以上の追加の認証要素を必要とするため、サイバー攻撃が成功する可能性を低減します。

MFAの主な利点は、ユーザーにユーザー名とパスワード以外の手段による本人確認を義務付けることで、組織のセキュリティを強化できることです。ユーザー名やパスワードは重要ではありますが、ブルートフォース攻撃に対して脆弱であり、第三者に盗まれる可能性があります。 指紋認証や物理的なハードウェアキーといったMFA要素の使用を義務付けることで、組織がサイバー犯罪者から安全に守られるという確信を高めることができます。

MFAは、追加の認証情報（認証要素）を要求することで機能します。ユーザーが遭遇する最も一般的なMFA要素の一つが、ワンタイムパスワード（OTP）です。OTPとは、Eメール、SMS、あるいは何らかのモバイルアプリを通じて頻繁に受け取る、4～8桁のコードのことです。 OTPでは、定期的に、あるいは認証リクエストが送信されるたびに新しいコードが生成されます。このコードは、ユーザーが最初に登録した際に割り当てられるシード値と、単にインクリメントされるカウンタや時間値といったその他の要素に基づいて生成されます。

MFA（多要素認証）の認証手法の多くは、以下の3種類の追加情報のいずれかに基づいています。

1. 「知っていること（知識）」：パスワードやPINなど
2. 「持っているもの（Possession）」：IDカードやスマートフォンなど
3. 「本人固有の特性」（inherence）：指紋や音声認識などの生体認証

多要素認証の例としては、以下の要素を組み合わせて認証を行うものがあります：

知識

• 個人のセキュリティ質問への回答
• パスワード
• OTP（知識と所持の両方に該当する場合あり。OTPの答えを知っているだけでなく、それを取得するために携帯電話など「所持しているもの」が必要となる）

所持

• スマートフォンアプリで生成されるOTP
• SMSやメールで送信されるOTP
• アクセスバッジ、USBデバイス、スマートカード、FOB、またはセキュリティキー
• ソフトウェアトークンおよび証明書

内在性

• 指紋、顔認証、音声、網膜または虹彩スキャン、その他の生体認証
• 行動分析

MFAが機械学習や人工知能（AI）を取り入れるにつれ、認証方法はより高度化しており、その例としては以下が挙げられます：

位置情報に基づく

位置情報に基づくMFAでは、通常、ユーザーのIPアドレスを確認し、可能であればその地理的位置も確認します。 この情報は、ユーザーの位置情報が「許可リスト」に指定された内容と一致しない場合に、単にユーザーのアクセスをブロックするために使用されるほか、パスワードやOTP（ワンタイムパスワード）などの他の要素に加えて、ユーザーの身元を確認するための追加の認証手段として使用されることもあります。

適応型認証またはリスクベース認証

MFAのもう一つの形態として、適応型認証（リスクベース認証とも呼ばれる）があります。適応型認証は、認証時にコンテキストや行動を考慮して追加の要素を分析し、多くの場合、これらの値を用いてログイン試行に関連するリスクレベルを割り当てます。例えば：

• ユーザーが情報にアクセスしようとしているのはどこからか？
• 会社の情報にアクセスしようとしているのはいつですか？通常の勤務時間中ですか、それとも「勤務時間外」ですか？
• どのようなデバイスが使用されていますか？昨日使用したものと同じですか？
• 接続はプライベートネットワーク経由か、それともパブリックネットワーク経由か？

リスクレベルは、これらの質問に対する回答に基づいて算出され、ユーザーに追加の認証要素の入力を求めるかどうか、あるいはログインを許可するかどうかを判断するために使用されます。したがって、この種の認証を表す別の用語として、「リスクベース認証」が用いられます。

アダプティブ認証が導入されている場合、深夜にカフェからログインするといった、普段行わない行動をとるユーザーには、ユーザー名とパスワードの入力に加えて、携帯電話に送信されたコードの入力が必要になる可能性があります。 一方、毎日午前9時にオフィスからログインする場合は、ユーザー名とパスワードの入力を求められるだけです。

サイバー犯罪者は、あなたの情報を盗むことに全力を注いでいます。効果的かつ徹底された多要素認証（MFA）戦略は、彼らに対する最初の防衛線となります。効果的なデータセキュリティ計画は、将来的に組織の時間とコストを節約することにつながります。

MFAは、しばしば二要素認証（2FA）と混同して使われます。2FAは基本的にMFAの一種です。なぜなら、2FAでは必要な要素の数を2つに限定しているのに対し、MFAでは2つ以上でもよいからです。

cloudコンピューティングの登場により、MFA（多要素認証）はこれまで以上に不可欠なものとなっています。企業がシステムをcloudに移行するにつれ、ユーザーがシステムと同じネットワーク上に物理的に存在していることをセキュリティ上の要素として頼ることはできなくなりました。システムにアクセスする者が悪意のある者ではないことを保証するために、追加のセキュリティ対策を講じる必要があります。 ユーザーはいつでもどこからでもこれらのシステムにアクセスするため、MFAは、ハッカーが模倣したり、ブルートフォース攻撃で解読したりすることがより困難な追加の認証要素を要求することで、ユーザーが本人であることを確認するのに役立ちます。

AWSやMicrosoftのOffice 365など、多くのcloudベースのシステムは独自の多要素認証（MFA）機能を提供しています。Office 365は、デフォルトでAzure Active Directory（AD）を認証システムとして使用しています。ただし、いくつかの制限があります。 例えば、追加の認証要素として利用できるタイプは、「Microsoft Authenticator」、「SMS」、「音声認証」、「OAuthトークン」の4つの基本オプションに限られています。また、利用したいオプションの種類や、どのユーザーがMFAを使用する必要があるかを細かく制御したいかどうかによって、ライセンス費用がさらにかかる可能性があります。

OneLoginのようなIdentity as a Service（IDaaS）ソリューションは、強力な認証要素に関してより多くのMFA認証方法を提供しており、Microsoftのエコシステム外のアプリケーションともより容易に統合できます。