二要素認証(Two-factor authentication)とはアクセス権を得るのに必要な本人確認のために、二種類の認証要素をユーザに要求する認証方式である。必要な要素を複数持たせる方式のため多様認証(Multi-factor authentication)とも呼ばれる。
一方、二段階認証(Two-Step authentication)は、一段回目で認証が成功した後に、さらに二段階目の認証を行うことで利用者をより確実に認証するための仕組みである。
近年の本人なりすまし被害の多発により、二要素認証・二段階認証による認証強化が各企業で進んでいる。また各サービスの利用者に対しても二要素認証を使うようにサービス提供者側から推奨されているケースが多い。
二要素認証、二段階認証において重要なのは、二種類の要素をそれぞれ異なる要素にすることである。本人を確認するしくみは大きく分けて3つの要素がある。
1つ目は「知識」でパスワードや暗証番号などが該当する。
2つ目は「所有」である。キャッシュカード、スマートフォン、ワンタイムパスワードなどのトークンなど、その人だけが持っている所有物で認証する方法である。
3つ目は「生体」で、指紋・静脈・虹彩などの生体認証のほか、クレジットカードのサイン等も該当する。その人の身体であると証明できる要素となる。
二要素認証、二段階認証ともに、これら3つの要素のうち異なる要素を2つ組み合わせたもの利用することが推奨される。二要素認証の具体例としては最近の大手SNSで導入されている「IDとパスワード」に加えて、登録した電話番号に届くSMSメッセージを入力させる方式がある。これはパスワードという「知識」と、SNSの番号、つまりスマホ端末の「所有」という2つの要素による「二要素認証」の例である。
なお、二要素認証を行う場合はワンタイムパスワードの窃取などへの対策として、二つの要素を別々のタイミング、画面で入力・確認させるのではなく、可能であれば同じタイミング、一つの画面で入力することが推奨される。
