二要素認証の概要
二要素認証とは、『ユーザだけが知っている何か』『ユーザだけが所有している何か』『ユーザ自身の特性（指紋など）』のうち、２つの要素を組み合わせてユーザの身元を確認する仕組みのことです。 例えば、銀行のATMを利用する場合、暗証番号を「知っている」ことと、キャッシュカードを「所有している」ことで、初めて預金を下ろしたり振り込みしたりすることができます。 また、銀行などで利用されている指紋認証はユーザ自身の特性を認証しています。
二要素認証の種類(認証の3要素)
1. ユーザだけが知っていること(知識)
ユーザが知っている情報や事柄によって認証する方式です。多くの場合パスワードが利用されますが、秘密の合い言葉（自分だけが知っていること）をパスワードとして利用することもあります。パスワードの文字数によってセキュリティの強度が変わりますが、パスワードの覗き見や、キーロガーによって解析されてしまうリスクも存在します。更に複数のシステムで同じパスワードの使い回しや、パスワードの変更期限を設けず使い続けるなどにより、漏洩後のリスクや漏洩のリスクが高まります。
知識情報 主な例
- ID・パスワード
- PINコード
- 秘密の質問 など
2. ユーザだけが持っている物(所有)
ユーザだけが所有している物を鍵とする認証方法です。ユーザが持っているICカードやUSBトークンなどをさします。銀行が発行する乱数表や、時刻ベースで変化するワンタイムパスワードを表示するトークンなどがあります。これらは実現するためにコストがかかるのがデメリットでしたが、最近ではユーザが所有するスマートフォンを鍵として利用する事例も増えてきています
所持情報 主な例
- 電子証明書
- USBトークン
- ICカード など
3. ユーザだけが持っている物(生体)
ユーザ自身を鍵として利用する方法です。本人の指紋、静脈パターン、顔認証、眼の網膜や光彩を利用した認証方法です。最近ではiPhoneやAndroidなどのスマートフォンのロック解除に指紋認証や顔認証が利用されることもあります。
生体情報 主な例
- 指紋
- 網膜
- 声紋 など
二要素認証に用いられる製品やサービスの例
生体認証を利用する場合
利用者の身体的特徴を利用する認証方法は生体認証と呼ばれ、確実に本人を証明する事ができます。また、ICカードなどの別の持ち物を認証の対象とする方法と比べると、家に忘れることや紛失のリスクがない事がメリットです。
デメリットは、端末毎に生体認証の為のハードが必要であることです。ハードは1台につき、1万円から数万円のコストがかかります。また、生体認証の誤検知（本人なのに認証できない）などのトラブルの対応が必要であることや、生体データ自体が機密データとなるので、生体データの管理にも気を遣わなければなりません。
認証用のアイテムを利用する場合
認証用アイテムを利用する方法はICカードやUSBトークン、ワンタイムパスワードトークンを利用する方法がメジャーです。このような認証アイテムを利用する方法は、使いやすくコストも比較的安く済む（1つあたり数千円～）事がメリットです。 デメリットは、紛失時の手続きや、カードの管理に手間がかかるという問題があります。
しかし、最近この問題を解決するスマートフォンアプリを利用したソリューションがあります（IIJ SmartKey）。スマートフォンにインストールしたアプリケーションがワンタイムパスワードを表示すると言うもので、この認証方法をつかうと1ライセンスあたり100円という低価格で二要素認証を実現することができます。
電子証明書を利用する場合
端末にインストールした電子証明書によって認証を行う方法もあります。この認証方法は証明書をインストールした端末から認証を行うということになります。証明書をPCなどにインストールした場合、認証アイテムの紛失等のリスクがない事もメリットです。 デメリットは、電子証明書の発行に時間がかかること、証明書の期限についての管理が必要であることと、コストが高めと言うことです。
電子証明書
- 認証対象
- 電子証明書
- 利用方法
- 本人所有のデバイスへのインストール
- メリット
- オンライン配布が可能
新たなハードウェアやアイテムが不要 - デメリット
- 電子証明書導入の費用が発生
電子証明書発行の手続きが必要
物理的アイテム
- 認証対象
- ワンタイムパスワード、ICカードなど
- 利用方法
- 使い捨てパスワード入力、ICカード配布など
- メリット
- 導入コストの低さ
使いやすさ - デメリット
- 認証対象毎にアイテムが必要
管理と紛失時の手続きが手間
生体認証
- 認証対象
- 顔、指紋、静脈などの身体的特徴
- 利用方法
- 専用ハードウェアへの登録
- メリット
- 本人認証の確実性、紛失などのリスクが少ない
- デメリット
- ハードウェアが高額
生体認証の誤検知への対応が必要
二要素認証と二段階認証との違い
システムやサービスにログインするために、1度ではなく2度の認証を行なうことです。例えば、ID・パスワードでログインを行ったあと「秘密の質問」の答えを入力する認証の場合は、認証の段階を2つ踏むため”二段階認証”といえます。 これに対し、二要素認証は、「認証の3要素」から2つ以上の異なる認証方式を組み合わせて行います。
二要素認証の必要性とセキュリティ強化
情報はどこから漏洩するかわかりません。そして、一度漏洩すると企業に深刻なダメージを与えるものになりかねません。パスワードのみの管理では様々なリスクに対応しきれなくなっています。セキュリティは目に見える効果が少ないため、後回しとなりがちで、身近で問題が起こってから初めて導入の検討をするということが当たり前のようになっています。 しかし問題が起こってからでは遅いため、事前にリスクの排除を行っておくことをお勧めいたします。情報セキュリティと利用者の利便性の観点から二要素認証の導入を検討してはいかがでしょうか。
【企業セキュリティ物語２】ID・パスワードのみのアクセスは最アクデス の巻
クライアント証明書に関するPDF資料を配布中!
二要素認証で用いられるクライアント証明書の必要性と利用用途を解説する「クライアント証明書とは」PDF資料を無料で配布しております。