二要素認証（2FA）とは何ですか？

二要素認証（2FA）では、アクセスを許可する前に、ユーザーが2つの異なる要素を用いて本人確認を行う必要があります。通常は、パスワードに加え、メール、SMS、またはモバイルアプリを通じて送信されるワンタイムコードがこれにあたります。これにより、独立した2つ目の確認手順が追加されるため、パスワードが漏洩しただけではアカウントが乗っ取られることはありません。

主なポイント

• 2FAは、ユーザー名とパスワードに加えて、本人確認の手段をもう1つ追加します。
• 認証コードは、SMS、Eメール、認証アプリ、またはプッシュ通知で届きます。
• Titan PortalとDirectorでは、管理者がユーザーごとまたは組織ごとに2段階認証を有効にすることができます。
• 2段階認証が有効になっている場合、盗まれたパスワードだけではアクセスすることはできません。
• FIDOやハードウェアセキュリティキーは、SMSコードよりも強力な2段階認証を実現します。

このページの内容： その重要性 ・ 仕組み ・ 種類 · 2FA およびVersa · よくある質問

2FAはなぜ重要なのでしょうか？

パスワードは単一の固定された秘密情報です。フィッシングや情報漏洩、あるいは複数のサイトでの再利用によって一度漏洩してしまうと、それを入手した者は誰でもアカウントの所有者としてログインできてしまいます。2FAは、攻撃者が入手する可能性がはるかに低い第2の認証要素を要求することでこの脆弱性を解消するため、パスワードが盗まれただけではログインできなくなります。

これは、管理用ログインやリモートアクセスログインにおいて特に重要です。これらの場合、1つの認証情報が侵害されるだけで、1つのメールボックスだけでなくネットワーク全体が危険にさらされる可能性があるからです。セキュリティフレームワークでは、機密性の高いシステムに関わるあらゆる場面において、多要素認証を「オプション」ではなく「基本対策」として扱う傾向が強まっています。ネットワーク運用者にとって、管理コンソールやVPNクライアントで2FAを有効にすることは、認証情報に基づく攻撃に対抗するための、最も費用対効果が高く、かつ低コストな対策の一つです。

2FAとは何ですか？

認証要素は、「知っているもの」（パスワード）、「持っているもの」（携帯電話、トークン、ハードウェアキーなど）、「本人固有のもの」（指紋や顔認証など）の3つのカテゴリーに分類されます。2FAでは、これらの中から正確に2つを組み合わせて使用します。最も一般的なのは、パスワードと「持っているもの」の要素を組み合わせたもので、登録済みの携帯電話やメールアドレスに送信されるワンタイムコード、あるいは認証アプリによって生成されるコードなどがこれにあたります。

ログイン時、ユーザーは通常通りユーザー名とパスワードを入力します。両方が正しく、かつ2段階認証が必要な場合、システムはアクセスを許可する前に2つ目の認証要素の入力を求めます。ユーザーはSMS、メール、またはアプリからコードを取得し、有効期限が短い間にそのコードを入力します。両方の認証要素が確認されて初めてセッションが開始され、管理者がこの要件を有効にすると、通常、エンドユーザーはこれを無効にすることはできません。

2段階認証の種類

SMSやメールによるコード送信が最も一般的な方法です。システムが短い数字のコードを生成し、登録済みの電話番号やメールアドレスに送信します。このコードは数分間のみ有効です。導入は容易ですが、携帯電話ネットワークやメールボックスのセキュリティに依存します。認証アプリは、デバイス上で時間ベースのワンタイムパスワード（TOTP）をローカルに生成するため、SMSの傍受リスクを排除できます。プッシュ通知による承認では、信頼できるアプリにログインの通知が送信され、ユーザーはそれを承認または拒否するだけです。FIDOおよびハードウェアセキュリティキーは最も強固な認証レベルです。物理的なキーは、暗号技術を用いて所有権を証明し、ワンタイムコードでは不可能な方法でフィッシング攻撃に耐性がありますが、これらを利用するには対応するIDプロバイダーが必要です。

2FA &Versa

Versa 管理画面全体で2段階認証に対応しています。 Versa Director
, 管理者は、Active Directory、LDAP、RADIUS、またはTACACS+といった外部認証サーバーと併せて、EメールまたはSMSで送信されるコードを用いた二要素認証を有効にできます。設定を行うと、ユーザーがグループに追加されます（Versa-2FA-Enabled （Active Directory または LDAP 上）で、コネクタがどのアカウントに第2の認証要素が必要かを認識できるようにします。管理者がユーザーごとにこの機能を有効にすると、ユーザーはそれを無効にできなくなります。FIDO などのより強力な認証要素では、SSO を対応する ID プロバイダーと連携させます。

Titan ポータルでは、2FAは、エンタープライズ管理者、エンタープライズユーザー、ストア管理者、MSP、またはリセラーなど、あらゆるアカウントを追加または編集する際に利用可能なユーザーごとの設定スイッチであり、同一アカウントにおける外部SSO認証とは互いに排他的です。Versa Secure Access（VSA）クライアントプロファイルでも、ローカルVSAユーザー向けに2要素認証の切り替え機能が提供されていますが、これはActive Directoryで認証されたユーザーには適用されません。

よくある質問

2FAとMFAの違いは何ですか？

2FAは、正確に2つの要素を使用する多要素認証（MFA）の特殊なケースです。MFAはより広範な概念であり、ポリシーの厳格度に応じて、2つ、3つ、あるいはそれ以上の要素（例えば、パスワード、ハードウェアキー、生体認証など）を必要とすることがあります。

管理者が2段階認証を有効にした後、ユーザーはそれを無効にすることができますか？

いいえ、Versa DirectorやTitan Portalではできません。管理者がアカウントに対して二要素認証を有効にすると、エンドユーザーはこれを無効にすることはできません。無効にできるのは管理者またはその他の権限を持つユーザーのみであり、これにより、ログイン情報が一度漏洩しただけで、保護機能が知らぬ間に無効化されるのを防ぐことができます。

SMSを利用した2段階認証は安全ですか？

パスワードだけを使うよりは安全ですが、SIMスワッピングやネットワーク攻撃によってSMSが傍受される可能性があるため、認証アプリやハードウェアキーよりはセキュリティレベルが低くなります。セキュリティに関するガイドラインでは、より強力な保護が必要なアカウントについては、アプリベースのコードやFIDOキーの利用を推奨する傾向が強まっています。

2段階認証（2FA）とシングルサインオン（SSO）は併用できますか？

プラットフォームによって異なります。Versa のTitan Portalでは、アカウントごとに組み込みの2FAと外部SSO認証は互いに排他的です。Versa Directorでは、FIDOなどのより強固な多要素認証方式は、組み込みの2FAフローではなく、対応するIDプロバイダーとのSSOを通じて処理されます。

2段階認証には携帯電話が必要ですか？

必ずしもそうとは限りません。SMSコード、プッシュ通知による承認、または認証アプリの場合、携帯電話が最も一般的な選択肢ですが、2段階認証はメールでの配信や物理的なハードウェアセキュリティキーを利用することも可能です。そのため、手元にモバイル端末がないアカウントでも、有効な第2の認証要素を有効にすることができます。

2FAについてさらに詳しく

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

2FAについて調べているなら、次はこれらをチェックしてみる価値があります。