不正アクセスを狙ったさまざまな手法が登場するなか、改めて認証技術に注目が集まってきています。パスワードトークンや生体認証の技術が高度化し、これまでよりもより確実な認証システムを導入できる二要素認証について紹介します。

みなさんが使っているパスワードはどのようなものでしょうか。現在、最も使われているパスワードは、一位が、123456で二位が、passwordだといわれています。上記のようなものは極端な例ですが、company001のような安易なパスワードも多いのが現状です。しかし、このようなパスワードを利用していると、可能な数字の組みあわせすべてを試すブルートフォース攻撃や、辞書にある単語の組みあわせを試す辞書攻撃といった攻撃に遭うと、不正アクセスを許してしまうリスクがあります。 では、パスワードを長く、複雑にすれば安全かというと、それだけでは十分ではありません。長く複雑なパスワードにすればするほど、多数のパスワードを管理できないため、複数のサービスで同じパスワードを使用することになります。IPAの調査によれば、52パーセントの人が複数のサービスでパスワードを使いまわしていると答えています。 この場合、別のサービスで漏洩（ろうえい）したIDとパスワードの組みあわせを用いて、金融機関などのオンラインサービスに不正アクセスを試みるパスワードリスト攻撃やアカウントリスト攻撃によるリスクが発生してしまいます。 このように、これまでのパスワード認証では、十分なセキュリティの確保に限界がありました。

パスワード以外の手法による認証方式を用いて、セキュリティを高める手段を二要素認証と呼びます。 二要素認証では、ユーザーの持っている三つの要素、本人だけが知っている何か（知識情報）、本人だけが所有している何か（所有情報）、本人自身の特性のうち（生体情報）、二つの要素を組みあわせて認証する仕組みを取ります。文字列によるパスワードは知識情報に該当し、スマートフォンのパターン認証や、秘密の質問などがこれに当てはまります。これは、認証装置が不要な反面、簡単なパターンを設定した場合に他人に盗み見られてしまうといったリスクがあります。所有情報は、トークンと呼ばれる外部機器や携帯電話などのモバイル機器、乱数表／マトリクスのような認証カードといったデバイスが該当します。情報が盗まれた場合でもデバイスを保有している限り安全な反面、デバイスを紛失した場合のリスクは大きくなります。生体情報は指静脈や虹彩などの生体認証や、位置情報が該当します。なりすましの危険性も少なくデバイスの紛失も発生しませんが、認証装置が必要になるうえ、装置の性能によって識別の精度に差がでてしまいます。 こうした各要素のメリットとデメリットを相殺するようにして、二つの要素を組みあわせた認証方式を二要素認証と呼びます。 複数の要素を組みあわせることでセキュリティを高めることができ、大変効果的です。 一つの要素から二つの認証方式（例えば、パスワードと秘密の質問）を組みあわせても十分な対策にはならず、二要素認証とはなりません。 あくまでも三つの要素、本人だけが知っている何か、本人だけが所有している何か、本人自身の特性から二要素以上を組みあわせることが重要です。

これまでのIDとパスワードによる認証方式では、さまざまな脅威によるリスクにさらされており、十分な対策を確保することが難しいです。セキュリティを確保するには、パスワード以外の本人のみが知っている所有情報、および本人自身といった要素を組みあわせた認証が必要です。