多要素認証

多要素認証とは †

名称 †

• MFA（Multi-Factor Authentication）

概要 †

• 認証時に複数の認証要素を使う認証方法。
• 2つの認証要素を使う場合、「二要素認証」（2FA:2 Factor Authentication）と呼ぶ。
• 段階的に認証させるケースも、多要素認証に含まれる。

多要素認証の方式 †

• ワンタイムパスワード認証
• デジタル証明書
• インベントリ認証
• FIDO認証 -「FIDO」

段階的認証 †

• 一般的な利用をするために1段階目の認証をし、個人情報を取り扱うなど重要な利用 をするために2段階目の認証をするなど。
• 2段階で認証する場合、「2段階認証」と呼ぶ。
• 認証要素は1種類のみでも、2種類以上を使うものでもよい。

いろいろ †

• 2ファクタ認証
  • Apple -iOS10.3から採用されたApple IDの認証。
  • 通常のパスワードと「確認コード」をサインイン時に要求する。
  • 確認コードは、あらかじめ登録しておいた信頼できる電話番号へのSMSや音声メッセージによって通知される。

• 2段階認証
  • 2-Step Verification
  • Google -Googleアカウントの認証

• ログイン認証
  • Facebookの認証

• 認証アプリ
  • 認証アプリが生成したワンタイムパスワード（TOTP、HOTP）を入力する
  • ワンタイムパスワードはサービス提供者から送信されるものではない

• プロンプト認証
  • デバイスにプッシュ通知で表示されるプロンプトのボタンをタップする

認証要素 †

• 認証の3要素
  • 「認証」参照

多要素認証では防ぐことができない攻撃 †

• フィッシング
• 中間者攻撃

セキュリティ上の脅威 †

• MFA Fatigue攻撃
• 2FAリレー攻撃
  • フィッシング
• AiTM

関連サイト †

• Guidance for Multi-Factor Authentication(pci Security Standards Council)
  https://www.pcisecuritystandards.org/pdfs/Multi-Factor-Authentication-Guidance-v1.pdf

• 電子的認証に関するガイドライン(NIST)
  • NIST SP800-63-3

• 「二段階認証…？」と言わないためのMFA入門 --- あるいはIDシステム地獄への案内(ブログなんだよもん)
  http://koduki.hatenablog.com/entry/2019/07/06/154443

• ハッカーのKevin Mitnickがフィッシングで二要素認証をバイパスする方法を教える (TechCrunch)
  https://jp.techcrunch.com/2018/05/11/2018-05-10-hacker-kevin-mitnick-shows-how-to-bypass-2fa/

• パスワード管理/MFA管理の戦略(2022.11.27) -Web Scratch~ https://efcl.info/2022/11/27/password-mfa-strategy/

• twofactorauth.org
  https://twofactorauth.org/

• 2fa.directory
  https://2fa.directory/

関連用語 †

• 認証
• パスワード認証
• アウトオブバンド認証 -OOB認証
• ワンタイムパスワード（OTP）
• AiTM - Adversary-in-The-Middle
• Captcha
• Modlishka