多要素認証
何のことか
総務省の解説ページは、こう定義しています[1]。
多要素認証とは、認証の3要素である「知識情報」「所持情報」「生体情報」のうち、2つ以上を組み合わせて認証することを指し、多要素認証の中でも2つの要素を使う認証のことを2要素認証と呼びます。
— 総務省「国民のためのサイバーセキュリティサイト」
3つの要素は、ざっくり言えば「知っているもの」（パスワードなど）、「持っているもの」（スマートフォンなど）、「体そのもの」（指紋や顔など）です。
具体的にはどういう形か
同じページは、例としてこう書いています[1]。
多要素認証の具体例としては、ID・パスワード（知識情報）で認証した後に、ユーザが持っている機器（所持情報）にショートメッセージで送ったパスコードを入力させたり、指紋や顔（生体情報）などを用いた認証と組み合わせたりするなどです。
効果については「多要素認証を用いることでセキュリティレベルを高めることができます。」とし、「利用するシステムで多要素認証の設定が可能な場合は積極的に利用しましょう。」と勧めています[1]。
なぜパスワードだけでは足りないのか
同じページは、パスワードの使い回しについて「サービスから流出したアカウント情報を使って、他のサービスへの不正ログインを試す攻撃の手口が知られています。」と書いています[1]。続けて、使い回したパスワードが「他のサービスから何らかの原因でパスワードが漏洩してしまえば、第三者に重要情報にアクセスされてしまう可能性があります。」としています[1]。パスワード（知識情報）だけで守っていると、それが漏れたときに不正アクセスを防ぐ手立てが残りません。多要素認証は、そこに別の種類の確かめ方を足すものです。
よくある誤解：2段階認証と同じものか
同じではありません。総務省の用語集は「二段階認証」を「利用者認証を2回に分けて行うもの。」とし、続けてこう書いています[2]。
- 「多要素認証とは異なり、同じ認証の要素で2つの段階に分けて認証する場合もそう言います。」
- 「一方、異なる要素を組み合わせて2回認証を行う場合は二要素認証とも言います。」
- 「同じ要素2回よりは異なる要素2回の方がセキュリティレベルは高くなります。」
子ども向けの「情報通信白書 for Kids」も、「ID・パスワードによる認証の後に、事前に設定した秘密の質問などにさらに答えて認証するような２段階認証の場合は、いずれも「記憶情報」による認証になります。」と例を挙げています[3]。これに対し、専用アプリに表示される数字を入力する形なら、「特定の機器を所持している人でないとログインできないことになり、「所持情報」が組み合わされたことになります。」と説明しています[3]。
つまり、2回確かめていても、両方がパスワードや秘密の質問のような「知っているもの」なら、多要素認証にはなりません。
なお、要素の呼び方は資料によって少し違います。解説ページは「知識情報」[1]、情報通信白書 for Kids は「記憶情報」[3]と書いています（「その中でも、複数の要素（記憶情報、所持情報、生体情報）の組み合わせで本人認証を行う、「多要素認証」を使うと、セキュリティが一層高まります。」[3]）。
ニュースで読むときの注意
情報漏えいや不正ログインのニュースで「多要素認証を導入していなかった」「2段階認証を設定してください」とあったら、どちらの言葉か、どの要素を組み合わせているかを見ると、対策の強さが読み取れます。
家の玄関に、暗証番号の鍵と、物理的な鍵の2つを付けるようなものです。番号を盗み見られても、鍵を持っていなければ開きません。暗証番号の鍵を2つ並べても、番号を両方知られれば開いてしまいます。