2段階認証と2要素認証の違い｜「2回聞かれる」だけでは守れない理由

「2段階認証」と「2要素認証」は、日常の会話ではほぼ同じ意味で使われています。しかし、この2つは守れる範囲が同じとは限りません。ログイン時に確認が2回あっても、その2回が同じ性質のものであれば、突破の条件はあまり変わらないことがあります。この記事では、認証の3要素という考え方をもとに両者の違いを整理し、実務でこの区別がなぜ重要になるのかを解説します。

用語の整理｜2段階認証と2要素認証は何が違うのか

2段階認証とは、その名の通り確認のステップが2回あるという手順の話です。1回目の確認を通過したら2回目の確認に進む、という流れそのものを指しています。

一方の2要素認証は、異なる種類の要素を2つ組み合わせるという中身の話です。手順が2段階になっているかどうかではなく、確認に使っているものの種類が違うかどうかを問題にしています。

両者は重なる場合が多く、2要素認証は結果として2段階の手順になることがほとんどです。ただし逆は必ずしも成り立ちません。2段階になっていても、2回とも同じ種類の要素を確認しているだけであれば、それは2要素認証とは呼べません。2段階認証は2要素認証を含む場合もあるが、イコールではないという点が出発点になります。

認証の3要素という考え方

両者を区別するときの土台になるのが、認証の3要素という整理です。本人であることを確かめる手がかりは、大きく次の3つに分けて考えられます。

• 知識 — 本人が知っていること。パスワード、PIN、秘密の質問の答えなど
• 所持 — 本人が持っているもの。物理的なキー、スマートフォン、ICカードなど
• 生体 — 本人そのものの特徴。指紋、顔、静脈など

2要素認証は、このうち異なる区分から2つを選んで組み合わせるものです。逆に、同じ区分の中で確認を2回重ねても、突破に必要な条件はあまり変わりません。知識を2つ聞かれる場合、攻撃側から見れば「知識を集める」という一種類の作業が増えるだけで、乗り越えるべき壁の性質は変わらないためです。3つの要素をどう組み合わせるかという考え方は、多要素認証の基本で扱っている方式選定にもそのままつながります。

具体例で見る、同じ要素を重ねた場合と別の要素を組み合わせた場合

パスワードの後に秘密の質問を聞く場合

画面上は確認が2回あり、2段階認証には該当します。しかし、パスワードも秘密の質問の答えも、どちらも知識です。どちらも本人の記憶や記録の中にある情報であり、同じ経路から漏れる可能性があります。メモや管理ファイルが流出すれば両方まとめて渡ってしまうこともあり、片方だけを守れているとは言い切れません。パスワードの扱い方そのものについてはパスワードポリシーの設計で整理しています。

パスワードと物理的なキーを組み合わせる場合

こちらは知識と所持という異なる区分の組み合わせであり、2要素認証に該当します。パスワードが漏れていても、手元に物理的なキーがなければログインできません。逆にキーを拾われても、パスワードを知らなければ使えません。2つの壁が別々の性質を持っているため、片方が崩れたときにもう片方が残ります。所持の要素として使うキーそのものの特性はハードウェアセキュリティキーの解説を参照してください。

この関係は、玄関の鍵に例えるとイメージしやすくなります。合鍵の本数を増やすことと、鍵とは別の仕組みを足すことは、意味が違います。

なぜこの区別が実務で重要になるのか

この区別が実務で意味を持つのは、パスワードが既に外部に出ている可能性を前提に考える必要があるからです。自社では適切に管理していても、従業員が他社のサービスで同じような文字列を使っていれば、そちらの流出をきっかけに攻撃側が正しいパスワードを手にしている状況が起こり得ます。

この前提に立つと、知識だけを重ねる強化は効きにくいことが分かります。パスワードに加えて秘密の質問を足しても、攻撃側が知識を集める作業を続けるだけで届いてしまう可能性が残ります。一方で、所持や生体という別の区分を1つ加えれば、手元に何かがなければ入れないという条件が生まれ、パスワードが漏れているという前提そのものに対して働きます。

言い換えれば、対策を検討するときに問うべきは「確認を何回にするか」ではなく「どの区分の要素を組み合わせるか」です。使い捨てのコードを使う仕組みも、この観点でどの区分に当たるのかを確認しておくと判断しやすくなります(ワンタイムパスワードの仕組みを参照)。

自社の認証が2要素になっているかを見分ける手順

用語の定義よりも、実務で必要なのは「いま使っている認証がどちらなのか」の判定です。次の順に確認すれば判別できます。

• 手順1：ログイン時に求められるものを全部書き出す — パスワード、コード、カード、指紋など、画面に出てくるものをすべて挙げます
• 手順2：それぞれを3要素のどれかに振り分ける — 知識（覚えているもの）／所持（持っているもの）／生体（体の特徴）のいずれかに当てはめます
• 手順3：2種類以上の要素にまたがっているかを見る — またがっていれば2要素認証、同じ要素の中に収まっていれば2段階認証です

注意しておきたいのは、「指紋認証にしている」という状態が、実は単一要素にとどまっている場合があることです。パスワードの代わりに指紋を使っているだけであれば、要素はひとつしかありません。強度を上げるつもりで導入したのに、要素の数は変わっていなかった、というのはよくある行き違いです。

「2段階でも十分では」と言われたときの答え方

社内で説明する場面では、「2回聞いているのだから安全ではないか」という反応が返ってくることがあります。この問いには、攻撃者が一度の漏洩でいくつ入手できるかという観点で答えると伝わりやすくなります。

パスワードと秘密の質問は、どちらも「その人が覚えている情報」です。同じ場所（本人の記憶、あるいはそれを保存したブラウザやメモ）に置かれているため、片方が漏れる状況では、もう片方も一緒に漏れている可能性が高いという関係にあります。フィッシングの画面で両方まとめて入力させられれば、2回聞いたことに意味はありません。

一方、認証アプリの入ったスマートフォンや物理キーは、パスワードとは別の場所にあります。攻撃者がパスワードを手に入れても、そのデバイスは手元にありません。2段階か2要素かの違いは、手間の回数ではなく「攻撃者が追加で何を入手する必要があるか」の違いです。この整理のしかたであれば、専門用語を使わずに済みます。

日本語表記のゆれをどう受け取るか

この話題では、二段階認証・2段階認証・二要素認証・2要素認証・多要素認証・MFAといった表記が入り混じります。漢数字と算用数字の違いは単なる表記のゆれで、意味の差はありません。多要素認証(MFA)は、2つに限らず複数の異なる要素を組み合わせる考え方を指す言い方で、2要素認証はその中の一形態にあたります。

気をつけたいのは、資料や製品説明でこれらの言葉が厳密に使い分けられていない場合があることです。「2段階認証に対応」と書かれていても、それが異なる区分の要素を組み合わせたものなのか、知識を2回確認するだけのものなのかは、表記からは判断できません。導入や比較の場面では、言葉ではなく実際に何を確認しているのかまで確かめることをおすすめします。

自社の状況をどう確認するか

まず見ておきたいのは、社内のPCやサーバーへのログインが結局パスワードだけになっていないかという点です。クラウドサービス側では追加の確認を設定していても、業務端末やファイルサーバーへのログインは従来どおりという状態は珍しくありません。この場合、パスワードが漏れた前提に立つと守りが薄い箇所が残ります。

確認の観点は次のようなものです。

• 業務端末のログインに、知識以外の要素が使われているか
• 追加の確認がある場合、それは別の区分の要素なのか、知識をもう一度聞いているだけなのか
• 管理者権限を持つアカウントについて、他と同じ扱いになっていないか

端末側のログインをどう扱うかという具体的な話はWindows OSログインの2要素認証で、組織全体の確認項目は中小企業向けセキュリティチェックリストで扱っています。

いまの運用を棚卸ししてみる

用語の違いを理解したうえで次に必要なのは、自社のログインが実際にどの要素で守られているかを把握することです。applippliの無料棚卸しでは、10問・約3分で、自社の認証・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。