多要素認証

多要素認証（MFA）は、ユーザーアカウントによるシステムへのアクセスを許可する前に、複数段階の認証を要求するセキュリティ対策です。ユーザーは、ユーザーが知っているもの(ユーザー名やパスワードなど）、ユーザーが持っているもの（セキュリティトークンやモバイルデバイスなど）、ユーザー自身のもの（指紋や顔のスキャンなどの生体認証）のような、複数の識別要素を提示する必要があります。

ログイン情報としてユーザー名とパスワードだけを要求するシステムは、それらを知っている人なら誰でもアクセスできます。その人が正規のアカウント所有者であるかどうかは関係ありません。MFAシステムは認証プロセスにいくつかの追加手順を加え、アカウントにログインしている人がアカウント所有者であることを確認します。多要素認証システムは二要素認証に似ていますが、2つ、3つ、またはそれ以上の認証手順を要求できます。

MFAで使用される認証要素には3つのカテゴリーがあります。MFAシステムでは、正しいユーザーがアカウントにログインしていることを確認するため、これらの要素のうち少なくとも2つを要求します。

• 知識要素は、ユーザーが知っているものです。通常、この要素はユーザー名とパスワードです。PIN、パスフレーズ、セキュリティ質問など、ユーザーが知っているその他の要素を、ユーザー名とパスワードと組み合わせて使用することもできます。
• 所持要素は、ユーザーが持っているものです。これはユーザーのスマートフォンであることが多く、SMSで電話にコードを送信したり、MFAパスコード生成アプリでコードを生成したりできます。セキュリティトークンデバイスも一般的です。これらの小型デバイスをコンピューターに接続すると、認証を行ったり、ユーザーが入力する1回限りのコードを表示したりできます。
• 生体要素は、ユーザー自身のものです。そのため、多くのMFAでは生体認証が使用されます。最も一般的なのは指紋や顔のスキャンですが、識別に音声認識や網膜スキャンを使用するシステムもあります。

多くの場合、ユーザーが特定のデバイスを使って初めてログインするときだけ、追加の認証を行う必要があります。認証に成功すると、サイトはCookieをWebブラウザーに設定します。これにより、WebサイトはMFAが成功し、ユーザー名とパスワードだけでよいことを認識します。デバイスやWebブラウザーを変更すると、再度MFAチェックが行われます。