多要素認証
認証に成功するために、種類の異なる2つ以上の認証要素を求める仕組みです（英語では Multi-Factor Authentication、MFA）。
3つの要素
NIST SP 800-63B（2025年の改訂版）は、認証要素を次の3つに分けています。
| 要素 |
例 |
| 知識（something you know） |
パスワード、PIN |
| 所持（something you have） |
スマートフォンのアプリ、ハードウェアのセキュリティキー、ワンタイムパスワードの機器 |
| 生体（something you are） |
指紋、顔 |
同じ種類を2つ重ねても多要素にはなりません。パスワードと「秘密の質問」は、どちらも知識なので単一要素です。また、生体情報は単独では認証器として認められず、所持の要素と組み合わせて使うことが求められています。
強さの段階（AAL）
SP 800-63B は、認証の強さを3段階（Authenticator Assurance Level）で定めています。
- AAL1：単一要素でもよい。ただし検証する側は、多要素の選択肢を用意すべきとされる
- AAL2：異なる2つの要素が必要。検証する側は、フィッシングに強い方式を少なくとも1つ用意しなければならない
- AAL3：秘密鍵を取り出せない、フィッシングに強い暗号認証器が必要
フィッシングに強い方式とは
SP 800-63B は、
フィッシング耐性を「偽の相手に対して、利用者の注意深さに頼らずに、認証の秘密が漏れるのを防ぐ性質」としています。
- 強い：FIDO2／WebAuthn（パスキー、セキュリティキー）など、接続先のサイトと結びついた暗号の仕組み。ただし、端末の間で同期するパスキーは、鍵を取り出せるため AAL3 には使えない
- 強くない：ワンタイムパスワード（アプリ・SMS）や、帯域外（別の端末への通知）での承認。偽サイトに入力させられれば、そのまま中継される
- SMS など電話網を使う方式は「制限付き」とされ、SIM の差し替えや番号の移転といった危険を考慮すべきとされている
運用で気をつける点
- 通知の連打：承認の通知を何度も送りつけて、根負けして押させる手口がある。SP 800-63B は、画面の値を見比べて「承認」を押させる方式を、もはや許容されないとしている。ログイン画面に出た値を端末に入力させる（または端末に出た値をログイン画面に入力させる）方式にし、通知の回数に上限を設ける
- 回復の手続き：端末をなくしたときの回復の手続きが弱いと、そこが抜け穴になる（ソーシャルエンジニアリング）
- 全部にかける：管理者のアカウント、リモートアクセス（VPN）、クラウドの管理画面から優先する
- ログインの後は守らない：多要素認証が守るのはログインの瞬間まで。ログイン後のセッション（Cookie）を情報窃取型のマルウェアに盗まれると、そのまま使われる。端末の保護と、セッションの失効の仕組みを組み合わせる
関連するページ
出典
確認日：2026年10月14日
最終更新：2026年10月15日 09:54
