多要素認証とは
多要素認証は、異なる種類の認証要素を二つ以上組み合わせ、本人確認を強化する方法です。英語のMulti-Factor Authentication（マルチ・ファクター・オーセンティケーション）を略してMFA（エムエフエー）と呼びます。
認証要素は、パスワードなどの知識要素、登録端末やセキュリティキーなどの所持要素、指紋や顔などの生体要素に分けます。二つの入力を求めても同じ種類ならMFAではありません。
目的は手順を増やすことではなく、一種類の証拠が漏えい・盗難・推測されても、別の性質を持つ証拠で侵入を止めることです。
要素の違いと代表例
パスワードやPIN。盗み見、使い回し、フィッシングに備え、他の要素と独立させます。
登録済み端末、ICカード、ハードウェアセキュリティ鍵。複製や回線乗っ取りへの耐性は方式で異なります。
指紋、顔など。通常は認証器内で照合し、秘密鍵使用の解除に組み込みます。
要素を満たした証拠、認証器の登録、チャレンジ、有効期限、試行回数を確かめます。
予備認証器、回復コード、本人確認手続を用意し、通常認証より弱い抜け道にしません。
送金、認証器追加、復旧先変更などでは、古いセッションだけに頼らず再認証します。
二段階でも多要素とは限らない
パスワードのあと秘密の質問へ答える方式は二段階ですが、どちらも知識要素です。パスワードと別のPINも、独立した所持要素を証明していなければ同様です。
一方、端末内のパスキーを生体認証やPINで解除する認証器は、登録端末を持つことと、端末内で利用者を確認することを組み合わせられます。サーバーへ指紋と秘密鍵を二つ送るのではなく、認証器が必要条件を満たした結果を署名で示します。
承認通知は内容を読んでから操作する
「許可」を押すだけのプッシュ通知を何度も送る攻撃では、利用者が誤って承認することがあります。ログイン先、場所、時刻、照合用情報を表示し、身に覚えのない要求を拒否できるようにします。
SMSコードはパスワードだけより強くできますが、SIMスワップ、転送、端末画面の盗み見、偽サイトへの入力に弱い場合があります。利用できるなら、接続先サイトを暗号学的に結び付けるフィッシング耐性な認証器を優先します。
復旧と認証器追加がMFA全体の強度を決める
主端末を紛失したときに備え、別の安全な場所に予備認証器や回復コードを置きます。新しい認証器の登録、電話番号変更、回復用メール変更は攻撃者が狙うため、既存の強い認証と通知を組み合わせます。
MFAを確認するときは「二つ聞かれたか」ではなく、要素の種類、要素間の独立性、フィッシング耐性、登録・失効・復旧の流れを一組で見ます。
認証要素、multi-factor cryptographic device、phishing resistanceの確認資料：NIST SP 800-63B「Authentication and Authenticator Management」