第918回：2段階認証とは

ログインのための認証を2段階にわけて行う

　スマートフォンやパソコンで、サイトにログインしたり、サービスを利用する際に「認証」を受けなければならない場合があります。認証とは、ユーザーが名乗った通り、正しいユーザー本人であると確かめる本人確認(相手認証)のことです。これを2段階に分けて分けて行うのが「2段階認証」ということです。

　典型的な2段階認証の例としては、たとえば「スマートフォンでサービスにログインしようとユーザーがID、パスワードを入力する」「サービスからSMSでユーザーに第2パスワードが送られてくるので、ユーザーはこれも入力する。これで、サービスにログインできる」というような例があります。

　ちなみに、最初の段階が「ID・パスワード」、2段階目が「指紋認証」などの生体認証といった全く違う方法で要素を組み合わせた認証を行うケースがあります。これは認証の要素自体が異なるので「2要素認証」と呼ばれます。

2段階認証を行うメリット

　ここ最近、2段階認証を行うサービスが増えてきた背景には、従来の単一認証方式が、攻撃によって突破されるケースが多くなったこと、また被害の拡大が社会問題化していることが、要因として挙げられます。

　たとえば、あるサービスの認証が、ID・パスワード方式の場合、IDの一覧リストさえ手に入れてしまえば、パスワードを総当たり攻撃で突破するのもそう難しいことではない設計になっている場合もあります。

　さらにはIDリストだけでなくパスワードのリストまで流失していた場合、単一認証のサービスでは防御の手段がなくなります。つまり、悪意の利用者の為すがままになってしまうわけです。

　しかし、認証を2段階にすれば、前述の様に第1の認証を突破しても、もう1つの認証でブロックすることができます。さらにこれを「パスワードとSMS」というように、2要素認証として認証方法を複数組み合わせることで、強固なセキュリティを実現できます。

スマートフォンの場合の2段階認証の例

　ここでスマートフォンの場合の2段階認証の例を挙げましょう。IDが電話番号（090-○○○○-△△△△）、パスワードが「××××」というアカウントがあるとしましょう。

　サービスのログイン画面では、IDに「090○○○○△△△△」、パスワードに「××××」を入力します。

　すると、ログイン画面上には「090○○○○△△△△に認証コードを送りました、入力して下さい」と入力画面が表示されます。そしてユーザーの使うスマートフォンへ認証コードを記したSMSが送られてきます。

　そしてログイン画面の認証コード入力フォームへその文字を入力することで、ログインが完了することになります。

2段階認証で使われる要素の例

　2段階認証（2要素認証）で使われる認証技術が、それぞれが単体のサービスの認証方法としてもよく使われているものです。下にその例を挙げます。