ひとことで言うと
パスワードのほかに、スマホに届く番号などでもう一度確かめるしくみ
EXAMPLE
たとえば
パスワードが漏れても、本人のスマホに届く6けたの番号がなければログインできません。乗っ取りを防ぐ、いちばん効き目のある対策のひとつです。
01二段階認証でできること・できないこと
二段階認証は、パスワードのほかにもう1つの方法で本人かどうかを確かめるしくみです。総務省は、本人を確かめる手がかりを3つに分けています。
| 要素 | 例 |
|---|---|
| 知っているもの（知識） | パスワード、暗証番号 |
| 持っているもの（所持） | スマホに届く番号、認証アプリ、専用の機器 |
| 体の特徴（生体） | 指紋、顔 |
このうち2つ以上を組み合わせるのが多要素認証で、2つを使うものを2要素認証と呼びます。「二段階認証」は、確かめる手順を2回に分けるものを広く指す言葉で、日常ではほぼ同じ意味で使われています。
できるのは、パスワードが漏れたり当てられたりしても、それだけではログインさせないことです。リスト型攻撃や総当たり攻撃への効き目が大きい対策です。
できないこともあります。偽サイトにパスワードと確認の番号を両方入れてしまうと、犯人がその場で使ってログインする手口があります（フィッシング）。番号を聞いてくる電話やメッセージにも答えてはいけません。スマホをなくしたときに自分も入れなくなることがあるので、予備の手段を用意しておきます。
02どんな会社・人に必要か
ネットのサービスを使うすべての人に必要です。総務省は、使っているサービスが対応していれば積極的に使うよう勧めています。警察庁もフィッシング対策として、ワンタイムパスワードや指紋・顔の認証を使うよう呼びかけています。特に、メール、ネットバンキング、通販、SNS、仕事のクラウドサービスは、乗っ取られたときの被害が大きいので先に設定します。
03導入するときに見ること
- 確認の手段には、SMSで届く番号、認証アプリ、指紋や顔などがあります。サービスごとに選べるものが違うので、設定の画面で確かめます。
- 設定のときに出る「予備のコード」は、印刷するなどしてスマホと別に保管します。
- 会社では、すべての社員のアカウントで有効にし、例外を作らないようにします。社外からつなぐVPNや管理者のアカウントは特に先にかけます。
- 身に覚えのない確認の通知が来たら、承認せず、パスワードを変えます。パスワードがすでに漏れているしるしです。
- 機種変更の前に、認証アプリの引き継ぎ方を確かめておきます。
ARTICLES
