セキュリティ対策として導入されている「2段階認証」と「2要素認証」とはどのようなものなのでしょうか。一見、同じように思われがちな2つの認証方法ですが実は大きな違いがあります。この記事では2つの認証方法の違いについて、説明します。

「2段階認証」と「2要素認証」の違いを知る

「2段階認証」と「2要素認証」はどのようなセキュリティの仕組みでしょうか。

2段階認証

2段階認証とは、「認証を2回行う仕組み」のことです。具体的な例を挙げると、まず「IDとパスワードを使ってのログイン」で1段階目の認証をします。その後、IDとパスワード以外の情報、例えば「秘密の質問」などを入力し、2段階目の認証を行います。これが2段階認証といわれる認証方法です。2段階目の認証に使用する情報はメールアドレスの場合や複数のパスワードの場合もあります。また、指紋や静脈などといった体の一部が使われることもあります。

2要素認証

これに対して2要素認証とは、「認証に使う情報が、２つの要素に分かれている認証の仕組み」のことです。認証の方式には具体的に以下の3つの要素があるのですが、これらの2つを組み合わせたものを言います。

1.知識要素
認証しようとする本人が記憶している情報で、パスワードや秘密の質問などがこれに該当します。

2.所持要素
記憶ではなく、本人が所持している端末などに送信した情報を使って認証するものです。スマートフォンへSMSやメールによって情報を送信するもの、スマートフォン向けの認証アプリを使ったもの、キーホルダー式の小型装置に一定時間で変化する数字を表示し、これを入力するものなどがあります。ワンタイムパスワードも所持要素にあたります。

3.生体要素
本人の体の一部を使って認証するもので、指紋や顔、虹彩認証（瞳のパターンを使用）や静脈認証などが生体要素に該当します。

例えばIDとパスワードの入力と、指紋認証を組み合わせれば、「知識要素」と「生体要素」という2要素を使って認証を行っています。これが2要素認証です。また、IDとパスワードに加え、スマートフォン向け認証アプリによって、コードやワンタイムパスワードを発行し認証する場合、知識要素と所持要素の組み合わせとなり、これも2要素認証となります。
なお、2つ以上の要素で認証するものは多要素認証と呼び、反対に1つの要素で認証するものは、単要素認証と呼ばれます。

セキュリティ向上には認証数ではなく要素数が重要

次に「2段階認証」と「2要素認証」をセキュリティの観点で見てみましょう。ポイントは要素数と認証数です。ここでは1段階認証も含め、どのような組み合わせが安全性の高いセキュリティなのか解説します。

1段階認証＋単要素認証

まず「1段階認証」を見てみましょう。1段階認証は、要素は一つなので、単要素認証となります。この場合、メールアドレスとパスワード、IDとパスワードといった情報が第三者に漏れていたり、総当たり攻撃（PCなどで可能な組合せをすべて試すことで乗っ取ろうとする攻撃方法のこと）によりパスワードを探し当てられたりしてしまう、といったリスクがあり、安全性は低いと言えます。

2段階認証＋単要素認証

2段階で認証を行いますが、要素が一つしかないパターンです。知識要素だけを使用した場合、IDとパスワードで認証後、秘密の質問の入力を行うなど、2回の認証を行うので1段階認証＋単要素認証より安全に思われます。しかし、私たちはサービスの「秘密の質問」にありそうな内容、例えば「親の旧姓」「通っていた学校名」「ペットの名前」「好きな芸能人」などの情報をSNSに書き込んだり、日頃から周囲と話したりしていることはよくあることです。このように、秘密の質問が第三者に漏れていた場合や、総当たり攻撃で答えを探されるなどといったリスクは、1段階認証＋単要素認証と変わらないため、安全性は低いと言えます。

1段階認証＋2要素認証

IDとパスワード（知識要素）に加え、ワンタイムパスワードなどをアプリで発行し（所持要素）、2要素を同時に入力して（1段階）認証するものです。この場合、仮にIDとパスワードが第三者に渡っても、同時にスマートフォンが相手に渡っていなければ認証できません。

2段階認証＋2要素認証

IDとパスワード（知識要素）で認証後、指紋認証（生体要素）で認証する場合は2段階認証＋2要素認証です。もしIDとパスワードが第三者に渡っても、指紋での認証ができないため、不正な認証を防ぐことが可能です。

このように、認証においてセキュリティ向上を目指す場合、認証の段階数ではなく、認証の要素数を増やすことが重要です。特に知識要素だけを使った単要素認証は、パスワードなどといった情報が第三者に渡っただけで、悪意あるログインを簡単に許してしまいます。何段階の認証があっても結果としてリスクは高いままなのです。

インターネットバンキングやクラウドサービスなどを選ぶ場合、適切なセキュリティ対策が施されているか不安なときは、認証の「段階数」ではなく「2要素認証／多要素認証」であることを確認するとよいでしょう。なお、サービスの提供側が2要素認証を2段階認証と誤認、誤記している場合もありますから、実際にどのような認証を行うのか、事前に確認することも大切です。

2段階認証と2要素認証は全くの別物！セキュリティには多要素認証を

一見似ていると思われた2段階認証と2要素認証の違いについて解説しました。また、セキュリティ対策として行われる2段階認証でも、IDとパスワードに加え、秘密の質問などといった1つの要素の（単要素認証）では、セキュリティ対策としては不十分であることもご理解いただけたでしょうか。特にインターネットバンキングやクラウドサービスなどを選ぶ際は、そのサービスがセキュリティに対してきちんとした対策を取っているかを判断する方法のひとつとして、その認証方法が多要素認証であるかを確認するとよいでしょう。
電子契約のクラウドサービス「電子印鑑GMOサイン」は、様々なセキュリティ機能をオプションで追加することができます。クラウドサービスを選ぶ際の参考にしてみてください。