ログインするときに、パスワードのあとでスマホに届いたコードを入力するよう求められたことはありませんか。これが二段階認証や二要素認証と呼ばれるしくみです。
似た言葉が2つあって、違いがわかりにくいと感じている人も多いと思います。この記事では、二段階認証と二要素認証の違いを整理したうえで、在宅で仕事をする人が設定しておきたいアカウントと、設定のしかたをまとめます。
安全なパスワードとは？使い回しの危険と強いパスワードの作り方
パスワードだけでは足りない理由
パスワードは、どれだけ長く複雑にしても、漏れてしまえば他人に使われてしまいます。利用しているサービスの側から流出することもあれば、偽のサイトにだまされて自分で入力してしまうこともあります。
そこで、パスワードのほかにもう1つ確認を加えて、パスワードだけが知られても入られないようにするのが、二段階認証や二要素認証です。
国家サイバー統括室（NCO）とIPAが示している「サイバーセキュリティ対策9か条」でも、3つ目に「多要素認証を利用しよう」が挙げられています。
本人確認に使う3つの「要素」
違いを知るために、まず「要素」という考え方を押さえておきます。総務省の「国民のためのサイバーセキュリティサイト」では、本人確認に使う要素として次の3つを挙げています。
| 要素 | 意味 | 例 |
|---|---|---|
| 知識要素 | 本人が知っているもの | パスワード、暗証番号、秘密の質問の答え |
| 所持要素 | 本人が持っているもの | スマホ、セキュリティキー |
| 生体要素 | 本人の体の特徴 | 指紋、顔 |
このうち2つ以上の要素を組み合わせて本人確認をする方法を、多要素認証といいます。2つの要素を使う場合が、二要素認証です。
二段階認証と二要素認証の違い
2つの言葉の違いは、何に注目しているかです。
- 二段階認証：確認の「回数」に注目した言い方。確認を2回に分けて行う
- 二要素認証：確認に使う「要素の種類」に注目した言い方。違う種類の要素を2つ組み合わせる
具体的な例で比べてみます。
| ログインのしかた | 1回目 | 2回目 | 二段階認証 | 二要素認証 |
|---|---|---|---|---|
| パスワード＋秘密の質問 | 知識 | 知識 | あてはまる | あてはまらない |
| パスワード＋スマホに届くコード | 知識 | 所持 | あてはまる | あてはまる |
| パスワード＋認証アプリのコード | 知識 | 所持 | あてはまる | あてはまる |
パスワードと秘密の質問は、2回確認していても、どちらも「知っていること」です。両方とも知られてしまえば、それで入られてしまいます。違う種類の要素を組み合わせるほうが、守りは強くなります。
ただ、実際のサービスでは、パスワードとスマホのコードを組み合わせるしくみを「二段階認証」と呼んでいることも多く、呼び方はサービスによってまちまちです。名前よりも、「パスワードとは違う種類の確認が入っているか」を見るとわかりやすいと思います。
2つ目の確認に使われる主な方法
パスワードのあとに求められる確認には、主に次のような方法があります。どれが選べるかは、サービスによって違います。
SMS（ショートメッセージ）
登録した携帯電話番号に、数字のコードが届きます。スマホがあればすぐに使えるので、始めやすい方法です。
メール
登録したメールアドレスに、確認のコードやリンクが届きます。メールアカウント自体が乗っ取られると意味がなくなるので、メールアカウントの守りも大切です。
認証アプリ
スマホに専用のアプリを入れておき、アプリに表示される数字のコードを入力します。コードは一定の時間ごとに切り替わります。
生体認証
スマホやパソコンの指紋認証・顔認証を使って確認します。
セキュリティキー
USBなどでつなぐ小さな機器を使って確認します。
9か条では、認証用アプリや生体認証を使った多要素認証の利用がすすめられています。
在宅ワーカーが先に設定したいアカウント
すべてのサービスで一度に設定するのは大変なので、被害が大きくなりやすいものから順に進めるのがおすすめです。
メールアカウント
多くのサービスでは、パスワードを忘れたときの再設定がメールで行われます。メールアカウントに入られると、ほかのサービスのパスワードまで変えられてしまうおそれがあります。
お金に関わるサービス
ネット銀行、会計ソフト、ネットショッピングなどです。二刀流なら、個人事業用と法人用の両方が対象になります。
パスワードの入口になるアカウント
ブラウザにパスワードを保存しているならGoogleアカウントやApple Account、パスワード管理アプリを使っているならそのアプリのアカウントです。ここに入られると、保存しているすべてのパスワードが危なくなります。
1Password自体の二段階認証の設定は、こちらの記事の「1Password自体のログインを守る｜二段階認証（二要素認証）の設定」で詳しく説明しています。
【使用レビュー】1Passwordソースネクスト版は買い？公式サブスクとの違い・コスパを実体験で解説
仕事の発信に使うアカウント
ブログの管理画面やSNSなど、乗っ取られると取引先や読者に迷惑がかかるものも、早めに設定しておきたいところです。
設定のしかた（共通の流れ）
画面や名前はサービスごとに違いますが、認証アプリを使う場合は、おおむね次の流れです。
- スマホに認証アプリを入れておく
- サービスにログインし、アカウント設定やセキュリティ設定の画面を開く
- 「二段階認証」「二要素認証」「多要素認証」などの項目を選ぶ
- 認証アプリを選ぶと、画面にQRコードが表示される
- スマホの認証アプリでQRコードを読み取る
- 認証アプリに表示された数字のコードを、サービスの画面に入力して確定する
- 予備のコード（バックアップコード、リカバリーコードなど）が表示されたら、控えて安全な場所に保管する
SMSを使う場合は、4〜5の代わりに携帯電話番号を登録し、届いたコードを入力します。
設定したあとに気をつけること
予備のコードを保管しておく
スマホをなくしたり壊したりすると、2つ目の確認ができなくなることがあります。設定のときに予備のコードが表示されたら、スマホとは別の場所に保管しておきます。
スマホを買い替えるときは事前に確認する
認証アプリを使っている場合、スマホを買い替えると、新しいスマホにそのまま引き継がれないことがあります。機種変更の前に、認証アプリや各サービスの案内を確認しておきましょう。
コードは人に教えない
届いたコードを人に教えたり、メールのリンクから開いたページに入力したりすると、二段階認証をしていても入られてしまうことがあります。サービスの運営会社が、電話やメールで認証コードを聞いてくることは通常ありません。
身に覚えのないコードが届いたら
自分がログインしようとしていないのにコードが届いた場合は、誰かがパスワードを使ってログインしようとしているのかもしれません。コードは入力せず、そのサービスのパスワードを変えておくと安心です。
私の場合
私は、1Password以外のサービスでも二段階認証を設定しています。方法は、Google AuthenticatorやMicrosoft Authenticatorといった認証アプリ、SMS、メールなどさまざまです。
ただ、自分で好きな方法を選んでいるというより、サービスごとに用意されている選択肢の中から設定している、というのが実際のところです。
どの方法が使えるかはサービスによって違うので、「この方法でなければ」と考えすぎず、まずはそのサービスで選べる方法で二段階認証を設定しておくことが大切だと思います。
まとめ
二段階認証は確認の回数、二要素認証は確認に使う要素の種類に注目した言い方です。パスワードとスマホのように、違う種類の要素を組み合わせると、パスワードだけが知られても入られにくくなります。
まずはメール、お金に関わるサービス、パスワードの入口になるアカウントから設定してみてください。設定したら、予備のコードの保管も忘れずに。
