「二段階認証・二要素認証・多要素認証」、この3つの違いを説明できますか？

こんにちは。まなぶです。
ふだんはシステムエンジニアをしながら、noteの記事を書いています。
前回の記事「GDPRについて知った気になっていた自分へ」を読んでくださった方、ありがとうございます。

今回は、セキュリティ設定の画面でよく見る「二段階認証」「二要素認証」「多要素認証」の話です。

実を言うと、この3つの違いを聞かれたら、私もすぐには答えられませんでした。

「なんとなく2回確認すれば安全なんでしょ」くらいの理解で、スマホの設定を進めていたと思います。

今回はこの3つを、自分なりに整理してみます。

まず整理：認証には「三要素」がある

3つの言葉の違いを理解する前に、認証の「三要素」という枠組みを知っておくと分かりやすくなります。

1つ目は「知識」。パスワードや暗証番号のように、本人だけが知っていることです。

2つ目は「所持」。スマホや、SMSで届く確認コードのように、本人だけが持っているものです。

3つ目は「生体」。指紋や顔のように、本人の身体的な特徴です。

「二段階認証」「二要素認証」は、この三要素をどう組み合わせるかの話になります。

二段階認証は「回数」、二要素認証は「種類」の話

ここが、私が一番混同していたポイントです。

二段階認証は、確認の「回数」の話。パスワードを入れたあと、もう一度別の確認をすれば、それで二段階認証です。

二要素認証は、確認の「種類」の話。三要素のうち、異なる2つを組み合わせているかどうかです。

たとえば「パスワード」＋「秘密の質問」は、2回確認していますが、どちらも「知識」なので二段階ではあっても二要素ではありません。

一方「パスワード」＋「SMSのコード」は、「知識」と「所持」の組み合わせなので、二段階かつ二要素の認証になります。

結局どれが一番安全？

二段階認証は、同じ要素を2回使うだけのこともあるため、それだけでは「安全」と言い切れません。

異なる要素を組み合わせる二要素認証・多要素認証のほうが、確実に安全性が上がります。

多要素認証（MFA）は、二要素認証を含む、より広い呼び方です。2つ以上の異なる要素を組み合わせていれば、三要素すべてを使う場合も含めて、多要素認証と呼びます。

同じ「2回確認」でも、要素の種類が違うだけで安全性が変わる、というのが今回いちばんの発見でした。

自分のスマホやネットバンキングの設定、いま入れているのは「二段階」でしょうか、それとも「二要素」でしょうか。よければ確認して、コメントで教えてください。