多要素認証 とは？

パスワードが盗まれると、それだけでログインできる仕組みでは悪用されるおそれがあるよ。別の種類の要素を加えると、パスワードだけではログインできなくなる。たとえばパスワードと認証アプリのコードを組み合わせる方法だね

「知っているもの」はパスワードやPIN、「持っているもの」は認証用の秘密情報を保持した端末やセキュリティキー、「身体の特徴」は指紋や顔などだよ。この3分類から異なる2種類以上を使うんだ。3種類全部を使わなくても多要素認証になるよ

回数だけでは判断できないよ。パスワードを2回入力しても、使っている要素は知識だけ。一方、パスキーのある端末でPINや生体による本人確認を求める方式は、所持と知識または生体を組み合わせられる。画面が一つでも複数の要素を使えるんだ

同じ強さではないよ。SMSは電話番号の不正な移転などの影響を受ける場合がある。認証アプリのワンタイムコードも、偽サイトに入力すると攻撃者に中継されることがあるんだ。パスキーなどのFIDO/WebAuthn方式は、相手のサイトに結び付けた認証でフィッシングに耐性を持たせているよ

サービスが提供する方式を確認し、利用できるならフィッシングに強い方式を選ぼう。端末をなくした場合に備え、対応する予備の認証手段や復旧コードも安全に保管するんだ。認証を強くしても端末の感染などへの対策は別に必要だから、ログインだけで安全が完結するわけではないよ