2段階認証の仕組みをわかりやすく解説！
2要素認証との違いややメリットもあわせて紹介

その名の通り、合計2回の認証が必要なログイン方法のことです。Webサイトやソフトウェアへのログインする時にセキュリティを強化して不正ログインを防ぐために利用されています。例えば、1回目にログインIDとパスワードが求められます。そして、2回目に別のパスワードや番号が求められるといった仕組みです。

認証にはパスワード以外にも、SMSやEメール、音声通話、アプリ、トークン、物理デバイス等が用いられますが、こちらの詳細は後ほど説明していきます。

2段階認証と2要素認証の違い

2段階認証と名称の似た2要素認証というものがあります。2つの違いを知るためにまずは、認証の3要素をみていきましょう。3要素とは「知識情報」「所有情報」「生体情報」のことです。

• 知識情報：パスワードやパターン認証、秘密の質問等、本人の頭の中にだけある情報。
• 所有情報：ICカードやスマホ、トークン等、本人だけが所有するもの。
• 生体情報：指紋や顔、虹彩、静脈等、本人の身体的な特徴。

2要素認証ではこの中から必ず2つ以上の情報を組み合わせなければなりません。一方、2段階認証では情報の組み合わせに限りはなく、同じ要素の情報でもよいので2回認証を行えばよいとされています。

2段階認証・2要素認証が必要とされてきた背景

インターネットの普及によりSNSやネットショッピング等、ネット上での情報発信や取引が急速に増えてきています。ネット上でのやり取りが便利になる一方で、情報漏洩やアカウント乗っ取りといったトラブルも多発しています。情報漏洩や不正ログインによるハッキング等は、企業にとって信用問題にも繋がるでしょう。

そして、これらが起きる原因として認証システムが1段階のみであったり、パスワードを使いまわしていたり等、セキュリティシステムの単純さがあげられます。そのため、現在では多くのシステムで2段階認証を採用し、セキュリティの強化が図られています。

2段階認証・2要素認証で用いられる方法は複数あります。ここでは、6つの方法について紹介していきます。

① SMS

SMSにて認証コードを受け取る方法です。携帯電話番号があれば利用できるため、多くの場面で利用されています。IDやパスワードが流出してしまっても、スマートフォンが手元になければ認証コードまでは入力できないため、第三者による不正ログインを防ぐことができます。

しかしながら、近年では中間者攻撃（AitM）やSIMスワップのリスクの懸念により、積極的な利用は減少しています。

② Eメール

Eメールアドレス宛に認証コードやワンタイムパスワードが送信される方法です。認証用のURLが送信され、そのURLからアクセスして認証が成立するパターンもあります。Eメールアドレス変更時には送信先の変更を忘れないようにしましょう。

また、アドレスにアクセスするためのIDやパスワードが流出してしまっている場合は、第三者に認証用のメールが渡ってしまうので注意が必要です。

③ アプリケーション

専用の認証アプリを利用した方法です。ログイン時に「ログインを許可しますか？」といったメッセージがスマホに届き、許可した時のみログインができます。また、それ以外にも顔や指紋認証、QRコードの読み取りを求められる場合もあります。

④ トークン

トークンに表示されたワンタイムパスワードを利用した方法です。トークンとはワンタイムパスワードを表示するためのデバイスのことで、キーホルダー型やカード型、USB型等、形は様々あります。現在では、スマートフォンで利用できるトークンアプリの利用も広がりつつあります。

⑤ 物理デバイス

セキュリティキーというUSBメモリ型のデバイスを利用した方法です。あらかじめサービスのアカウントを登録しておくことで、このセキュリティキーが情報にアクセスするための鍵になります。現在は、USB端子に接続するタイプやBluetoothで接続するタイプなどがあります。

⑥パスキー（FIDO）

FIDO（ファイド）とは、生体認証を用いた認証技術の標準化を目指す国際規格のことです。生体認証を基本とした認証方法で、近年パスワードレス認証を普及させるために推進されています。また、FIDOの規格を利用した認証方法がパスキーと呼ばれます。

既出の認証の中でもセキュアで安全性が高いと言われているのがパスキーです。
以前は専用のデバイスが必要だったため導入が難しいとされてきましたが、現在ではスマートフォンを利用することが一般的になったため導入のハードルが下がっています。
具体的な仕組みや過去からの変化については以下の記事で解説しています。

パスキー（FIDO認証）とは？パスワードレスを実現する認証方法についてご紹介

ここでは、具体的にどのようなメリットがあるのか紹介していきます。

• 本人確認の精度向上

IDやパスワードが流出してしまっても、2段階目は本人しか所有していないデバイスを用いれば、本人確認の精度が1段階だけに比べて格段に向上します。そのため、アカウントの乗っ取りやなりすましを防ぐ効果が期待できます。

• パスワード認証の問題をカバー

パスワード認証には様々なデメリットがあります。ひとつは、数字だけや文字数が少ないと解読されやすいことです。また、パスワードの使い回しは複数のアカウントに不正ログインされる危険性があります。複雑なパスワードにしても管理が適切でなければ、流出は防げません。

2段階認証にて本人確認することは、このような問題を解決することができます。

• リアルタイムなログイン通知

第三者がIDやパスワードを不正に利用してログインしようとすると、2段階目で本人が所有するデバイスに認証の通知が行われます。そのため、心当たりのない通知が届いた際は、IDやパスワードが流出している可能性があります。

このように、不正ログインを防ぎつつ、流出の可能性を知らせてくれるため、その後の対策が取りやすいと言えるでしょう。

ここでは、2段階認証に加えてさらなるセキュリティの向上を図るためのポイントを紹介します。

• ワンタイムパスワードの活用

ワンタイムパスワードとは、1度しか使用できないパスワードのことです。一定時間ごとに発行され、時間経過でパスワードは変わっていきます。
こちらは金融機関をはじめ、多くのサービスで広く利用されている仕組みです。パスワードをメモして覚えておく必要がないため、流出のリスクも抑えられます。

Gluegent Gateでは、PUSH通知・QR通知認証を提供しています。
詳細はブログ記事PUSH通知認証・QRコード認証を使ってみよう！を参照ください。

• パスワードの複雑化

不正ログインや情報漏洩を防ぐためには、1段階目のパスワード自体の強化も必要です。誕生日や数字だけの組み合わせ等は解読がされやすいため、英数字記号等を複数組み合わせることが推奨されています。
しかし、パスワードを複雑化し、利用するサービスごとに すれば管理することは、とても も大変にです。 なるためパスワードを管理するアプリやシステムの導入も必要となるでしょう。
管理者も利用するユーザーにも負担がかかります。

そのため、複数のSaaSに対し1つのパスワードを利用できるSSOの導入がお勧めです。
強固な認証（パスキーなど）と効率的な管理（SSO）を組み合わせることで、初めて安全で快適な業務環境が完成します。

• 新しいテクノロジーの活用

現在では、生体認証も普及してきています。指をかざすだけの指紋認証から、顔をカメラに映す顔認証や虹彩認証等、様々な方法が一般的になりつつあります。このような新しいテクノロジーを活用していくことは、セキュリティの向上にも繋がるでしょう。

Gluegent Gateでは顔認証ソリューションについても提供しています。
詳細はGluegent Gate の顔認証ソリューションを参照ください。

本記事では、2段階認証の仕組みや、2要素認証との違い、必要とされる背景、種類やメリット、その他必要となるセキュリティ向上のポイントについて紹介しました。

インターネット上でのやり取りは便利である一方、情報の流出には細心の注意を払わなければなりません。そのためにも、認証の強化を検討されてはいかがでしょうか。