2段階認証

6桁のコードはちょうど1,000,000通りあります。パスワードを手に入れた泥棒が5回推測できても、当たる確率は200,000分の1です。

泥棒はパスワードを持っている。コードが当たる確率は？

パズルから始めましょう。だれかにパスワードを盗まれましたが、サイトは6桁のコードも求め、泥棒は5回試せます。まぐれで当たる確率はどれくらいでしょう？先を読む前に、下の練習で計算してみましょう。

6桁は000000から999999まであり、10⁶ = 1,000,000通りのコードです。5回推測して当たる確率は1,000,000分の5、つまり200,000分の1です。パスワードだけなら、泥棒はもう入れていました。コードがあれば、ほとんど入れません。この差こそが、多要素認証が与えてくれるものです。

3種類の証明と、パスワード2つでも1種類である理由

多要素認証は、よく2要素認証や2段階認証ともよばれ、2種類以上の要素から証明を求めます。CISAは要素を3種類に分けています。知っているもの（パスワードやPIN）、持っているもの（スマートフォンやセキュリティキー）、そして自分自身（指紋や顔）です。パスワードが2つあっても1種類です。CISAがすべての人にすすめているのは、多要素認証が使えるすべてのアカウントでオンにすることで、まずメール、SNS、お金に関わるアカウントから始めます。メールが最初なのは、パスワードのリセット用リンクがそこに届くからです。受信箱を支配した人は、ほかのほとんどすべてをリセットできます。

中継できるコードと、中継できない鍵

よく使われる方法は、どれだけ持ちこたえるかがちがいます。SMSや音声通話で送られるコードは電話網を通ります。NISTはこれを制限付きの認証器に分類しています。今も認められていますが、サービスは代わりの方法を用意して利用者にリスクを知らせなければならず、最近のSIM変更や番号の移転といった兆候に注意するべきです。犯罪者が電話会社を言いくるめて、あなたの番号を自分のSIMに移させることがあるからです。認証アプリのコードはスマートフォンの中で作られ、ネットワークを通りません。プッシュ通知は［承認］をタップするよう求めます。犯罪者は、止めたくてどれかをタップしてくれるのを期待して、何十回も通知を送ることがあります。そのためCISAは、ログイン画面に表示された数字を入力する番号の照合をすすめています。

これらはどれもフィッシングされる可能性があります。偽のログインページがコードを求め、あなたが入力すると、犯罪者は数秒のうちにそれを本物のサイトに渡します。NISTは、コードを手で入力する方法はフィッシング耐性がないとはっきり述べています。コードを本物のサイトに結びつけるものが何もないからです。CISAはフィッシング耐性のある多要素認証を最高の基準とよび、広く使える唯一の種類はFIDO/WebAuthn、つまりセキュリティキーとパスキーだとしています。前の単元で見たように、これらは作られたサイトにしか応答しません。それでも、どんな多要素認証でも、ないよりはずっとましです。

スマートフォンをなくす前に

2段階認証をオンにすると、たいていのサービスは使い捨てのリカバリーコードの一覧を表示します。NISTはこれをルックアップシークレットとよんでいます。スマートフォンをなくしたときにまた入るための手段なので、スマートフォンとは別の安全な場所に保管しましょう。印刷して家に置くか、パスワードマネージャーに入れます。自分あてのメールに貼り付けたり、電話をかけてきた人に読み上げたりしてはいけません。本物のサポート担当者がそれを必要とすることはありません。

スマートフォンをなくしたり買いかえたりする前に、備えておきましょう。多くのサービスでは、2つ目の要素を複数登録できます。たとえば認証アプリとセキュリティキー、または2台のデバイスのパスキーです。機種変更のときは、古いスマートフォンを初期化する前に、認証アプリやパスキーを新しいスマートフォンに移します。なくしたときは、リカバリーコードかほかの要素でログインし、それぞれのアカウントからなくしたデバイスを削除します。