MFAとは何ですか？

多要素認証（MFA）とは、アクセスが許可される前に、ユーザーに対し、2つ以上の独立した本人確認要素（パスワードなどの「知っている情報」、ワンタイムコードやデバイス証明書などの「持っているもの」、生体認証などの「本人固有の特性」）の提示を求める認証方式です。

主なポイント

• MFAでは、パスワードだけでなく、2つ以上の独立した本人確認情報が必要です。
• 一般的な要素：パスワード、ワンタイムコード、デバイス証明書、生体認証。
• MFAの下では、盗まれたパスワードだけではアクセス権限が与えられることはありません。
• Versa TOTP、メールによるOTP、およびデバイス証明書プロファイルによるMFAに対応しています。
• Trusted-IPおよびローカル・ブレイクアウトの設計選択は、MFAのプロンプトが表示される頻度に影響を与えます。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ MFAおよびVersa · よくある質問

MFAはなぜ重要なのでしょうか？

パスワードだけでは脆弱な防御手段に過ぎません。フィッシング攻撃の標的になったり、再利用されたり、推測されたり、情報漏洩によって流出したりする恐れがあり、攻撃者がパスワードを入手してしまえば、パスワードのみに依存するシステムではそれ以上確認できるものが何も残っていません。MFA（多要素認証）は、攻撃者が認証情報を盗んだ後でもほとんど所持していない、独立した第2の認証要素――本物のユーザーが所持するデバイスから生成されるコードや、既知の端末に紐付けられた証明書など――を要求することで、その脆弱性を解消します。

業務が企業ネットワークの外へ移行するにつれ、この点はますます重要になっています。リモートユーザー、支店、クラウドアプリケーションはすべて、オープンなインターネットを介して認証を行いますが、そこではクレデンシャルスタッフィングやフィッシングが絶えず発生しています。MFA（多要素認証）は、最も費用対効果の高いセキュリティ対策の一つです。アナリストによると、アカウント乗っ取り攻撃の成功事例の多くは、第2要素の認証が欠如していたことが原因であるとしています。また、MFAは「ゼロトラスト」の基盤でもあります。ゼロトラストでは、デフォルトではどの接続も信頼できないものと見なし、アクセスを許可する前に継続的に身元を確認します。

MFAとは何ですか？

MFAは、3つのカテゴリのうち少なくとも2つに属する要素を組み合わせています。「知識」要素とは、パスワードやPINなど、ユーザーが「知っている」ものです。「所持」要素とは、ワンタイムパスワードを生成するスマートフォン、SMSやメールで送信されるコード、登録済みデバイス上の証明書など、ユーザーが「持っている」ものです。「生体」要素とは、指紋や顔認証など、ユーザーに「備わっている」ものです。

一般的なフローでは、まずユーザー名とパスワード、あるいはディレクトリログインといった一次認証情報を入力し、セッションが承認される前にユーザーに対して二次認証が求められます。求められる認証要素は状況によって異なります。例えば、既知のデバイスでは未知のデバイスよりも認証が求められる頻度が低くなる場合があり、これは「適応型認証」と呼ばれる仕組みです。いずれにせよ、単一の認証情報が盗まれただけでは、それだけでは不十分です。

MFAの種類

実装方法によって、どの第2要素を使用するか、またそれがユーザーにどのように届くかが異なります。SMSやメールによるOTPでは、登録済みの携帯電話や受信箱に短いコードが送信されます。導入は容易ですが、通信経路のセキュリティに依存します。TOTPは、共有秘密鍵と現在の時刻を用いて、認証アプリ内でローカルにコードを生成するため、ネットワーク経由での送信を完全に回避します。プッシュ通知は、手入力によるコードの代わりに、モバイルアプリに承認／拒否の確認画面を表示します。ハードウェアまたはFIDOセキュリティキーは、デバイスに紐付けられた公開鍵暗号方式を使用しており、手入力によるコードよりもはるかにフィッシング攻撃に強くなっています。デバイス証明書認証は、通常は認証情報と併せて、既知のマシン上の証明書を検証します。生体認証（指紋や顔）は、通常、上記のいずれかの方法の上に重ねられたローカルなロック解除機能として機能します。

MFA およびVersa

Versa 管理およびアクセス面全体にMFAを適用しています。Versa Directorでは、管理者がユーザーごとに二要素認証を有効化でき、ログイン後にメールまたはSMSで送信されるコードの入力が必要となります。DirectorはFIDOをネイティブでサポートしていないため、フィッシング攻撃に強い認証を必要とする組織では、FIDO対応のIDプロバイダーへのSSOと組み合わせて利用し、その認証情報をDirector、Concerto、およびSASE クライアントに引き継いでいます。

リモートユーザーの場合、MFAはSASE のクライアント登録フローに組み込まれています。クライアントは、登録が完了する前に、時間ベースのワンタイムパスワード（TOTP）またはメールで送信されるコードの入力を要求することができます。これは、セキュアなクライアントベースのアクセスルールにあるMFAトグルを通じて設定され、TOTPはスキャン可能なQRコードとして提供されます。

MFAはネットワーク設計とも密接に関連しています。『Azure Active Directory と MFA の統合ガイド』では、ローカルでのインターネット接続により、ID プロバイダーが追跡しなければならない信頼済み IP アドレスがどれほど増えるかが説明されています。認証トラフィックを一元的にルーティングしつつ、その他の SaaS トラフィックをローカルで外部へ接続することで、パフォーマンス上のメリットを損なうことなく、MFA の例外を管理可能な範囲に抑えることができます。

よくある質問

MFAは二要素認証（2FA）と同じものですか？

2FAは、正確に2つの要素を使用するMFAの特殊なケースです。MFAはより広義の用語であり、それ以上の要素を含む場合もあります。例えば、パスワード、TOTPコード、デバイス証明書を組み合わせて使用する場合などです。すべての2FAの設定はMFAに該当しますが、すべてのMFAの設定が2つの要素に限定されるわけではありません。

認証要素の主な3つの分類は何ですか？

「知識」（パスワードなど、自分が知っているもの）、「所持」（コードを生成する携帯電話や、登録済みのデバイス上の証明書など、自分が持っているもの）、および「生体認証」（指紋や顔認証など、自分そのものであるもの）。MFAは、少なくとも2つのカテゴリに属する要素を組み合わせています。

Versa Directorは、FIDOベースの多要素認証（MFA）をネイティブにサポートしていますか？

No.Versa Directorに組み込まれた2要素認証では、メールまたはSMSで認証コードが送信されます。FIDOやその他の高度な認証方法を利用するには、DirectorをFIDOをサポートするIDプロバイダーとのSSOと連携させる必要があります。これにより、IDプロバイダーからDirector、Concerto、およびSASE クライアントへと、より強固な認証情報が渡されます。

Versa （SASE ）クライアントでは、MFAはどのように利用されるのでしょうか？

登録の際、SASE クライアントは、登録が完了する前に、第二の認証要素（認証アプリから取得する時間ベースのワンタイムパスワード、またはユーザーにメールで送信されるコードなど）を要求することができます。また、ゲートウェイからクライアントへのポリシーでは、接続段階の条件としてMFAを義務付けることも可能です。

組織は、セキュリティを損なうことなく、多要素認証（MFA）のプロンプトを減らすことはできるでしょうか？

はい、信頼済みIPの例外設定を利用することで、IDプロバイダーは、データセンターなど、既知の信頼できるアドレスからのトラフィックについてはMFAを省略することができます。Versa Secure SD-WAN では、認証トラフィックを一元的にルーティングし、その他のSaaSトラフィックはローカルでルーティングすることで、信頼済みIPリストを最小限に抑えつつ、この機能に対応しています。

MFAについてさらに詳しく

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

MFAについて調べているなら、次はこれらをチェックしてみる価値があります。