二段階認証（Two-Step Verification）

二段階認証（Two-Step Verification）とは、ログインの際に、確認の手順を二回に分けて行う仕組みのことです。パスワードを入れたあと、もう一つ別の確認を挟むことで、なりすましを防ぎます。

現実世界に例えると、二段階認証は受付で名前を告げたあと、もう一度別の窓口で確認を受ける流れのようなものです。手間は増えますが、最初の関門だけを突破しても中へは進めません。

二段階認証 図解

二回目に使われるもの

多要素認証との違い

混同されやすいので整理しておきます。二段階認証は「回数」に着目した言葉で、同じ種類の確認を二回でも成り立ちます。多要素認証は「種類の違い」を求めます。パスワードと秘密の質問は二段階ですが、どちらも知識なので多要素にはあたりません。

実際にはほぼ重なる

とはいえ、線引きにこだわりすぎる必要はありません。いま提供されている二段階認証のほとんどは、スマートフォンという「持っているもの」を使うため、実質的に多要素認証になっています。呼び方はサービスによってまちまちです。

設定しておく価値

効果は数字で語られています。パスワードだけの状態と比べ、乗っ取りの被害を大幅に減らせることが各社の調査で示されています。他所から漏れたパスワードを試す攻撃に対しては、ほぼ確実な壁になります。

SMSは選べるなら避ける

方式による差があります。携帯電話の番号を第三者に乗っ取られる手口があるため、SMSで届く数字は他の方式より弱いとされています。無いよりはずっと良いのですが、認証アプリが選べるなら、そちらに切り替えてください。

それでも破られる手口

過信は禁物です。偽サイトで数字まで入力させる手口や、承認の通知を何度も送りつけて、うっかり押させる手口が知られています。求めた覚えのない確認が届いたら、絶対に承認しないでください。

使えなくなる事故に備える

導入して困るのはここです。スマートフォンを買い替えたり失くしたりすると、自分もログインできなくなります。設定時に表示される復旧用のコードは、必ず紙などに控えて別の場所へ保管してください。あとから取り出せません。

どこから設定するか

優先順位をつけると進めやすくなります。まずメール、次にクラウドの保管サービス、そして銀行や決済。とりわけメールは、他のサービスのパスワード再設定の入口になるため、真っ先に守っておく価値があります。ここを取られると、他をいくら固めても意味がなくなります。

あわせて知っておきたい用語

• 多要素認証：
  異なる種類の手段を組み合わせて本人を確かめる仕組みです。
• ワンタイムパスワード：
  一度きり有効な、使い捨ての認証用の数字です。
• パスキー：
  パスワードを使わずに本人確認をする仕組みです。
• 不正アクセス：
  許可なく他人のシステムへ入り込む行為です。