MFA のベストプラクティスにアップデートが必要な理由

攻撃者が AI を活用して、フィッシング、認証情報の窃取、なりすまし、ソーシャルエンジニアリングをかつてない規模と説得力で加速させている今、パスワードと画一的な第 2 要素を中心に構築された従来型の多要素認証（MFA）戦略の限界を理解することが重要です。この環境では、MFA のベストプラクティスはもはやログイン時にプロンプトを 1 つ追加することだけを意味しません。現代の攻撃に耐え、不必要な摩擦を減らし、あらゆる重要なユーザーインタラクションにおいて信頼を構築できる、より強力で適応性の高い認証を適用することを意味します。

MFA は依然としてパスワードベースの侵害の大半を防ぎますが、AI により人間層やセッション層を標的とする攻撃の成功率が高まっているため、耐フィッシング性のある MFA と条件付きアクセスが現在の真の標準となっています。

本ペーパーでは、AI 主導の脅威への対応として MFA のベストプラクティスがどのように進化しているかを解説します。現在最も一般的な認証手法を比較し、それぞれのアプローチが最も高い価値を発揮する場面を説明するとともに、組織が耐フィッシング認証、コンテキストシグナル、生体認証やデバイスベースの検証といった最新機能を組み合わせて、セキュリティと使いやすさの両方を向上させる方法を示します。また、これらの判断が、ログイン時に一度信頼を前提とするのではなく、信頼を継続的に強化する、より広範な Verified Trust アプローチにどのように貢献するかも示します。

現代の MFA ベストプラクティスが対処すべきこと

従来、認証の仕組みまたは要素は、次の 3 つのグループのいずれかに分類されてきました。

1. 知っているもの（たとえば、パスワードや PIN）。
2. 持っているもの（たとえば、携帯電話やトークン）。
3. 本人そのもの（たとえば、指紋やその他の生体データ）。

この 3 つの認証カテゴリが最も頻繁に使用されています。行動していること、いる場所、時間といった追加の分類を目にすることもありますが、これらは本質的には既存の 3 つの主要カテゴリに含まれる要素またはサブファクターである点に留意してください。たとえば、位置情報、つまり「いる場所」（GPS）は、その場にあるデバイスやウェアラブルに結び付いており、最終的には「持っているもの」に該当します。

認証要素が初めて導入された当初、それらはユーザーが申告どおりの本人であるという追加の保証レベルをもたらしました。しかし、どの要素も単独では万全ではありません。要素の種類ごとに（そしてその要素内の認証メカニズムごとに）、固有の強みと弱みがあるからです。悪意ある攻撃者によるそれらの弱点の悪用を防ぐため、企業は二要素認証（2FA）の採用を始めました。これは、認証時にユーザーに 2 つの異なる要素の提示を求めるものです。ここでの目的は、攻撃者がアカウントを乗っ取るために 2 つの異なるチャネルを侵害しなければならない状況を作ることであり、この仕組みは従来の認証手法と比べてセキュリティを大幅に向上させました。

残念ながら、攻撃者は立ち止まることなく、複数の要素を侵害するさまざまな方法を生み出しました。そうした攻撃への対抗策を説明する前に、まずこれらの新しいリスクを文脈の中で捉えておきましょう。2FA は、たとえ password+SMS であっても、ユーザー名/パスワードのみよりはるかに安全です。まだ実装していないのであれば、このペーパーを読むのを中断して直ちに導入すべきです。今日の環境では、2FA を単要素認証（SFA）ではなく使用することは認証における最低条件であり、攻撃者に必要な労力を大幅に増やし、侵害率も SFA やパスワードベース認証単独よりはるかに低くなります。

しかし、基本的な保護レベルを整えたら、次は 2FA から MFA へと発想を切り替えるときです。技術的には、MFA は単に "multi-factor authentication" を意味し、理論上は、すでに使用している 2FA と同じものを指す場合もあります。また、3 つ、4 つ、あるいは実際には任意の数の要素を、3 つの基本カテゴリから選んで組み合わせることもできます。

重要なのは、現代の MFA ベストプラクティスが次の 5 つの優先事項に対応していることです。

1. AI 主導のフィッシング、認証情報の窃取、なりすまし、ソーシャルエンジニアリングへの耐性
2. 正当なユーザーに対する低摩擦
3. コンテキスト、デバイス、リスクに基づく適応的な対応
4. 認証、登録、回復、高価値なトランザクション全体にわたる保護
5. リスクが高まった際の、より高保証な検証

さらに近年では、単一のログイン後に信頼を前提とするのではなく、ユーザーの ID、デバイス、行動、意図に対する確信度を継続的に評価する、より広範な Verified Trust モデルの一環として、ゼロ知識生体認証などのプライバシーを保護する検証アプローチを採用する組織も増えています。

MFA ベストプラクティスの比較: 強みと弱み

知っているもの: 知識要素

パスワード、PIN、秘密の質問などの知識要素は、今なお多くの認証フローで使われていますが、もはやそれ単体ではMFAのベストプラクティスを支えるのに十分な強度はありません。だからといって、組織が一夜にしてパスワードを廃止できるわけではありません。重要なのは、現代のMFAベストプラクティスでは知識要素を出発点として扱い、その上でフィッシング耐性のある手法、デバイスシグナル、アダプティブポリシー、そしてリスクが高まった際のより強力な検証によって強化することです。

ほとんどの組織にとっての目標は、単にすべてのパスワードを直ちに置き換えることではありません。ログイン、ステップアップ認証、アカウント回復、高価値の操作など、特に重要な場面における知識要素への依存を減らすことです。最も強力なMFA戦略は、日常的なアクセスでは摩擦を低く保ちながら、コンテキストやリスクが変化したときに追加の検証を求めることで、使いやすさとより高い保証を両立させます。

パスワード

パスワードは最も一般的な知識ベースの要素ですが、そのリスクの高さでもよく知られています。多くの場合、問題なのはパスワードそのものではなく、ユーザーのパスワード運用です。長く、ランダムに生成された使い回しのないパスワードは非常に安全ですが、覚えにくいという課題があります。ここで、「123456」や「letmein」のような推測しやすいパスワードを使うといった好ましくない慣行が生じます。

好ましくない慣行には、同じパスワードやその他の知識ベースの情報を複数のサイトで使い回すことも含まれ、これによりさらに大きなリスクが生じます。あるサイトのセキュリティがどれほど優れていても、他サイトで使われている認証情報が侵害されれば、そのセキュリティは最も弱いシステムの強度に左右されます。さらに、使い回し、フィッシング、クレデンシャルスタッフィング、AI支援型ソーシャルエンジニアリングによって、パスワードは大規模に盗まれ悪用されやすくなっています。

盗まれた認証情報はしばしばダークウェブで転売され、攻撃者に入手されます。その結果、盗まれたユーザー名とパスワードのリストをWebサイトに対して再試行し、一致を探すボットネット攻撃によるアカウント乗っ取りが増加しています。攻撃者は高い成功率を必要としません。成功率が2%でも、1,000人のユーザーがいるシステムでは20件のアカウントを侵害できる可能性があります。パスワードのセキュリティを高めるには、新規または更新されたパスワードを、既知の盗難済みまたは侵害済みパスワードのリストと照合することがベストプラクティスです。

また重要なのは、企業がパスワードをどのように管理するかです。どれほど推測しにくいパスワードでも、秘密のシードでハッシュ化されず、中央で保管され、かつユーザーがログインするシステムから隠蔽されていなければ、脆弱になる可能性があります。パスワードが平文で転送または保存されると、盗まれてアカウント乗っ取りに使われるリスクが高まります。これはパスワードだけに当てはまる話ではありません。保存された知識ベースの要素はいずれも露出を増大させるため、より強力なMFA戦略では、フィッシング耐性のある手法、デバイスコンテキスト、生体認証、アダプティブ検証へと保証の重心を移します。

パスワードのユーザビリティ

パスワードは依然として一般的ですが、現代のMFAベストプラクティスでは、フィッシング、使い回し、クレデンシャルスタッフィング、AI支援型ソーシャルエンジニアリングによって大規模に侵害されやすくなっているため、脆弱な基盤と見なされています。単純で覚えやすいパスワードは使いやすい一方で、前述のクレデンシャルスタッフィング攻撃に加え、ブルートフォースによる辞書攻撃や一般的なパスワードリスト攻撃にも弱いという問題があります。長いパスワードはより安全ですが、特に頻繁な更新が求められる場合は使いにくくなります。この使いにくさにより、パスワードリセットの増加、サポートへの問い合わせ、複数サイト間でのパスワード共有、そして本書の冒頭で述べたその他のユーザビリティおよびユーザー摩擦の問題が引き起こされる可能性があります。

PIN

PINは知識要素を短くしたものです。通常は数字のみで構成され、長さは4桁から6桁です。4桁または6桁のPINは、それぞれ組み合わせが10,000通りまたは1,000,000通りしかないため、パスワードよりもブルートフォース攻撃に対してはるかに弱いことは明らかです。そのため、PINをWebサイトを保護する唯一の要素として使うのは適切ではなく、中央の場所に保存すべきでもありません。しかし、PINがモバイルアプリケーションのロック解除のみに使われるのであれば、PINをブルートフォースで突破するには長い時間がかかります。一定回数の誤入力後にロックアウトする、あるいは入力ごとに待機時間を延長する仕組みがあれば、セキュリティはさらに向上します。

PINは比較的実装が容易ですが、そのセキュリティ価値は、信頼できるデバイス上でローカルに使用され、再試行回数の制限やロックアウトで保護されているかどうかに大きく左右されます。PINは高速で馴染みやすいユーザー体験を提供できますが、もはや使いやすさだけでは、より高リスクな認証フローにおける意味のある要素としての利用を正当化するには不十分です。ただし一般に、PINは低リスクの多要素シナリオにおいて、ローカルにのみ保存される堅実な第1要素です。

KBA

個人の本人確認を行うもう1つの一般的な方法は、knowledge-based authentication（KBA）です。これは、理論上は攻撃者が知らないはずの質問に対して、利用者が回答を提供することを求めるものです。KBAは、もはやパスワードと広く同等に扱うべきではなく、仮に使用するとしても、より強力なシグナルで裏付けられた限定的な回復手段や例外的なシナリオに制限すべきです。KBAには、共有回答型と動的KBAの2種類があります。共有回答型では、組織が質問の一覧を提示し、ユーザーは登録プロセスの一部として回答を提供します。その後、その質問が提示された際に、ユーザーは正しい答えを入力しなければなりません。通常、ユーザーが誤った答えを入力すると、同じ質問を繰り返し出すと攻撃者に推測されやすくなるため、別の質問が提示されます。問題は、KBAが共有回答型であれ動的な質問であれ、回答は公開情報、侵害データ、AI支援型リサーチを通じて、見つけやすく、推測しやすく、あるいはソーシャルエンジニアリングされやすいことです。

動的KBAは共有回答型の質問より予測しにくい場合がありますが、大規模なデータ露出と自動化された不正行為によって形作られた脅威環境において、持続的な保証を提供するのは依然として困難です。この方法の課題は、公開情報ではなく、かつ適度に答えやすい質問を見つけることが難しい点にあります。たとえば、2回前の借り換え時点での住宅ローンの正確な返済額を思い出してもらうような質問では、良好な顧客体験につながる可能性は低いでしょう。

KBAのセキュリティ

KBAは、公開データ、侵害データ、AI支援型ソーシャルエンジニアリングによって多くの回答が発見または推測されやすくなっているため、もはや現代的な強力な認証手段ではありません。多くのKBAの質問は、犯罪者がソーシャルメディアサイトやその他の公開情報源から、AIを活用して容易に見つけられる情報に基づいています。また、KBAの回答は中央に保存されるため、暗号化し、認証時に平文で送信してはなりません。

KBAのユーザビリティ

ユーザビリティの観点では、利用者が自身のKBAクイズに失敗し、結果として顧客体験が損なわれることは珍しくありません。KBAは今なお複数チャネルで利用可能かもしれませんが、広く利用できるという事実だけでは、意味のある信頼シグナルとしての利用を正当化するにはもはや不十分であり、使用するとしても、より強力なシグナルやステップアップ手法で裏付けられた限定的な回復手段や例外的なシナリオに限るべきです。そのため、KBAはアカウント回復のようなシナリオで活用の余地があります。

持っているもの: 所持要素

所持要素が有効に機能するのは、組織がデバイスの紛失、デバイス変更、回復を、認証フロー全体を弱めることなく計画している場合に限られます。これらは日常的によく起こるため、所持要素を使用するあらゆるシステムにはフォールバック計画が必要です。実例として、ある大手コンサルティング企業では、毎日、数百人から1,000人を超える従業員が携帯電話を紛失するか、職場に持参し忘れると報告しています。この企業では機密性の高いアプリケーションへのアクセスに厳格なセキュリティ要件があるため、その結果、従業員を手動で確認し一時的な認証情報を発行するためのヘルプデスクへの電話が、毎日数百件から場合によっては数千件発生しています。

所持要素のセキュリティ

所持要素は強力なセキュリティを提供できますが、その有効性は手法によって異なります。というのも、OTP、プッシュ通知、その他のデバイスベースの要素も、依然としてフィッシング、リレー攻撃、承認疲れ、デバイス侵害にさらされる可能性があるためです。

所持要素のユーザビリティ

ユーザビリティの観点では、所持要素は高く評価されます。スマートフォンのプッシュ通知に応答する、FIDO認証器をUSBポートに差し込む、メール内の一時リンクをクリックするといった操作は、いずれも比較的便利です。どれが最適な選択肢かは、具体的なシナリオによって異なります。

RSAおよびOATHハードウェアトークン

RSAおよびOATHトークンは、所有者がネットワークサービスへのアクセスを承認するために携行する小型のハードウェアデバイスです。デバイスはスマートカードの形態を取る場合もあれば、キーフォブやUSBドライブのような携帯しやすい物体に組み込まれている場合もあります。デバイス自体には、疑似乱数を計算するためのアルゴリズム（クロックまたはカウンター）とシードレコードが含まれており、ユーザーはこの番号を入力してトークンを所有していることを証明します。ユーザーを認証するサーバー側にも、各キーフォブのシードレコードのコピー、使用されるアルゴリズム、正確な時刻が必要です。一部のハードウェアトークンにはUSBインターフェイスが搭載されており、これらのトークンはPCのUSBスロットに挿入されます。ユーザーが認証する必要があるときは、デバイス上のキーを押すとワンタイムパスコード（OTP）が生成され、キーボードをエミュレートして、あたかもユーザーが手入力したかのようにそのパスコードをサーバーに送信します。

ハードFIDO認証トークン

ハードFIDOトークンも小型のハードウェアデバイスです。これらはUSB、Near Field Communication（NFC）、またはBluetooth Low Energy（BLE）を介してコンピューターと接続できます。フィッシング攻撃に対して非常に効果的なFIDO認証では、ユーザーは認証したい各Webサイトごとに認証器を登録する必要があります。認証器は特定のWebサイト向けに一意の公開鍵/秘密鍵ペアを生成し、その公開鍵をそのWebサイトに返します。認証はTLS上でのみ許可され、鍵はWebサイトのドメインにバインドされます。そのため、後にユーザーが偽のWebサイトへフィッシングされた場合でも、攻撃者は登録済みWebサイトのドメインからアクセスしているわけではないため、認証リクエストは失敗します。現在では主要なブラウザー、オペレーティングシステム、デバイスプラットフォーム全体でFIDOサポートが広く提供されており、かつて導入を遅らせていた互換性面の摩擦の多くは解消されています。

FIDO認証器のコストは従来、障壁となっており、企業は通常、特定のユーザーグループや、最も高いセキュリティを必要とするアプリケーションに対してのみFIDO認証器を必須化し配布してきました。しかし、AndroidやAppleの主要なモバイルプラットフォームでは、ソフトFIDO認証器のサポートが進んでいます。これはソフトウェアベースで、指紋や顔認証などスマートフォンの生体認証機能を活用できます。これらの認証器の利用には追加コストがかからないため、FIDO認証の大規模導入は経済的にはるかに現実的になります。ソフトFIDO認証器については、以下の生体認証のセクションで説明します。

ワンタイムパスコード（OTP）

OTPは柔軟で利用者に馴染みがあるため、今も広く使われていますが、現代のMFAベストプラクティスでは、最も強力な認証形態というより、利便性重視の選択肢として位置付けられています。この方法は配信チャネルまたはデバイスの制御を検証するのに役立ちますが、それだけで正しい本人がその場にいるという強い保証を提供するものではありません。また、時間制限があり、サーバー側でユーザーが正しいOTPを入力しようとする回数を制限できます。パスワードの再利用攻撃やクレデンシャルスタッフィングの成功率を下げることはできますが、依然としてフィッシング、リレー攻撃、リアルタイムの傍受に対して脆弱です。

OTPは、リアルタイムのフィッシングプロキシを通じて依然として傍受または再利用される可能性があるため、現代のMFAベストプラクティスでは、より高リスクなアクセスに対してフィッシング耐性のある手法がますます優先されています。フィッシングプロキシを使うと、攻撃者は実際のWebサイトに似たドメイン名を用いたフィッシングサイトを構築できます。これらのサイトは、正規サイトとの間で実際にトラフィックをプロキシしているため本物のサイトのように見え、任意の情報をリアルタイムで検査および改変できます。フィッシングサイトを正規サイトだと信じ込まされたユーザーは、そのフィッシングサイトにOTPを入力してしまい、そのOTPコードは正規サイトへのリアルタイムログインに利用される可能性があります。OTPの強さは、コード自体よりも、配信チャネル、デバイス、およびそれを取り巻く認証フローのセキュリティに左右されます。さまざまなOTP手法のセキュリティ上の考慮事項については、以下の各セクションで、まずソフトトークンから説明します。

OTPアプリケーション / ソフトトークン

ソフトトークンは、RSA/OATHトークンのソフトウェア専用版です。ハードトークンと同じインターフェイスを使用するため、サーバー側で1つの実装によりハードトークンとソフトトークンの両方を活用できます。このソフトウェアは変化し続ける一連のOTPを提供し、モバイルアプリケーションまたはデスクトップアプリケーションとして動作します。

セキュリティの観点では、実際にはソフトトークンはハードトークンより紛失の影響を受けにくい傾向があります。モバイルユーザーは、使い切りのハードウェアトークンを忘れたり紛失したりする可能性の方が、スマートフォンを忘れたり紛失したりする可能性より高く、またスマートフォンを失くした場合には、その喪失を報告する可能性が高く、ソフトトークンを無効化できます。さらに、配送が必要なハードウェアトークンに比べて、ソフトトークンは配布が容易でコストも低く抑えられます。

プッシュ通知

プッシュ通知は摩擦の少ない第2要素を提供できますが、現代のMFAベストプラクティスでは、承認疲れ、プロンプト爆撃、不正な要求をユーザーが承認してしまうリスクを考慮しなければなりません。アプリケーションの機能は大きく異なる場合があります。

プッシュベースのMFAは使いやすい一方で、より強力なコンテキスト、番号照合、追加の検証シグナルによって、プロンプト爆撃や誤承認に耐えられるよう設計する必要があります。ユーザーは通知リクエストを頻繁に浴びせられるため、届いたものをすべてそのまま承認してしまうことが少なくありません。この特性は、ログインプロセスで第1要素を侵害したハッカーにとって有利に働きます。なぜなら、プッシュ通知を受け取った際に、一定割合のユーザーが攻撃者の代わりに第2要素を送信してしまうことを彼らは知っているからです。

SMS経由のOTP

SMS OTPは依然として広く利用可能ですが、SIMスワップ、番号ポーティング、フィッシングのリスクがあるため、現在では保証レベルの低いフォールバック手段として扱うのが最適です。SMS OTPには、モバイルアプリに対応した最新のスマートフォンをユーザーが所有していなくても利用できるという利点がありますが、番号ポーティングやSIMスワップに関する複数の欠点もあります。こうした問題は十分に顕在化しているため、NISTはSMSの利用を非推奨としています。そのため、セキュリティ上それほど重要でないアクセス向けに、消費者向けのOTPとしてSMSを提供するのは有効な選択肢ですが、より価値の高いエンタープライズログインに対して十分なセキュリティを備えているかどうかを組織は検討すべきです。

音声経由のOTP

OTPの配信方法の1つに、すでにユーザーに関連付けられている電話番号への音声通話があります。この方法は、電話さえあればよいため可用性が高いのが特長です。携帯電話が手元にない場合でも利用でき、携帯電波が届かない環境では固定電話経由でも機能します。しかしセキュリティの観点では、モバイルデバイス上ではSIMスワップの脆弱性があり、また電話を複数人で共有している場合には悪用される可能性があります。

メール経由のOTP

メールで配信されるOTPは、有効な第2要素です。ただし、ユーザーは認証しようとしているアプリケーションからメールアプリケーションへ切り替え、OTPコードを記憶するか、認証中のアプリケーションにコピー＆ペーストする必要があるため、ユーザビリティの面では不利です。こうした制約から、メールベースのOTPは通常、パスワードを忘れた場合のリセットに使用されます。この場合、ユーザーはメール内の有効期限付きリンクに応答することで、そのメールアカウントの所有者であることを証明できます。

セキュリティの観点では、メールの安全性は、それにアクセスするために使用される認証情報の安全性に依存します。メールを複数のMFA要素のバックアップ手段として許可すべきではありません。たとえば、メールOTPを、パスワードを忘れた場合のフォールバックであると同時に、デバイスを紛失した場合のフォールバックオプションとしても許可し、そのメールが単一要素でしか保護されていないとします。この場合、真の多要素認証にはなりません。攻撃者は1つのもの（メールアカウント）を侵害するだけで、ユーザーのアカウントに侵入できてしまうからです。

本人そのもの: 生体認証要素

生体認証要素は、強力なセキュリティと低い摩擦を両立できるため、引き続き高い人気があります。特に、ゼロ知識生体認証のような新しいアプローチによって、ログイン、ステップアップ、取引承認、アカウント復旧といった重要な場面で、プライバシーを保護する生体認証および再検証を追加できるようになっています。現在では、指紋リーダーはほぼすべてのスマートフォンやノートPCで標準搭載されています。Windows Helloは生体認証デバイスとの統合を提供しており、iPhone XやMicrosoft Surface Book 2のような新しいデバイスには顔認識機能が内蔵されています。こうしたプラットフォーム提供の機能は、認証フローの一部として簡単に活用できます。

生体認証のセキュリティ

生体認証は高い保証レベルを提供できますが、最新のMFAのベストプラクティスでは、生体認証の検証がどのように実装、保護され、デバイスやコンテキストのシグナルと組み合わせられているかがますます重要になっています。指紋認証は非常に高精度ですが、今日より重要なのは、その生体認証フローが実環境において、なりすまし、デバイス侵害、提示攻撃に耐えられるかどうかです。顔認識技術も精度の面で大きく進歩していますが、最新の導入環境では、強力なライブネス検知と高保証の検証コントロールにより、AIで強化されたなりすましやディープフェイクを利用した成り済ましに対応する必要があります。

ただし、生体認証にはいくつかの弱点もあります。たとえば生体認証がデバイスにひも付いている場合、セキュリティの観点では、所有要素と同様にデバイスの紛失に関する問題の影響を受けます。生体認証情報を中央サーバーに保存すればこの問題は解消されますが、この種のデータはGDPRやCCPAのような規制の下で個人を特定できる情報（PII）と見なされるため、慎重に取り扱う必要があります。多くの組織は、ゼロ知識生体認証のようなプライバシー保護型のアプローチを検討しています。これは、規制コンプライアンス要件を満たす、あるいは上回るために、生体情報を取得可能または再構成可能な形式では一切保存しない方式です。米国では、Texas、Illinois、Washingtonが生体情報の収集および共有に関する法律を制定しており、他の複数の州でも同様の規制が提案されています。

生体認証のユーザビリティ

生体認証のユーザビリティ上の課題も、ユースケースによって大きく異なります。たとえば、インフルエンザクリニックで患者を確認する用途には、指紋リーダーは適切な選択ではありません。同様に、照明を制御できない環境では顔認識は信頼できません。顔認識機能を備えたATMに関するある調査では、西向きの窓に面した機器では午後になると精度が大幅に低下することがわかりました。これは、夕日がその窓に反射して、顔認識画像が完全に白飛びしてしまうためです。

生体認証とプラットフォームFIDO認証器

FIDOは引き続きフィッシングに対する最も強力な防御策の1つです。これは、認証器が信頼されたドメインにバインドされており、見た目の似たサイトやリアルタイムのフィッシングプロキシを通じて簡単にリプレイできないためです。

プラットフォームFIDO認証器は現在、主要なオペレーティングシステムやデバイスに組み込まれており、導入時の摩擦を大幅に減らし、アクセシビリティを向上させています。ユーザーは、ブラウザを介してWebAuthn標準をサポートするWebサイトにFIDO認証器を登録します。Webサイトが認証を要求すると、ユーザーはPIN、指紋、または顔認識を使って、普段どおりの方法でスマートフォン上で認証します。これにより、セキュリティと使いやすさの強力な組み合わせが実現します。Appleは、Bluetooth Low EnergyまたはUSBを介して、MacおよびiPhone上で動作するブラウザベースのアプリケーションにWebAuthnで認証するための外部FIDO認証器（ハードFIDOトークン）の利用をサポートしています。Apple、Google、Microsoftは現在、Face ID、Touch ID、またはデバイスネイティブの生体認証などの組み込み生体認証を使用して、対応アプリやブラウザ全体でユーザーが認証できるプラットフォームベースのFIDO体験をサポートしています。これにより、ユーザーはWebAuthn標準をサポートするWebサイトにログインできます。

FIDOは、プラットフォームサポートの拡大と摩擦の少ないユーザー体験により、従業員向けと顧客向けの両方のユースケースで、広く実用的なフィッシング耐性のある認証オプションになっています。

適切なMFA方式の選び方

自社の特定の状況に最適なMFAメカニズムを選択するには、セキュリティ、ユーザビリティ、コストのバランスを取る必要があります。以下の表は、さまざまなMFAメカニズムの長所と短所を要約したものです。

Adaptive MFA がセキュリティを強化する方法

ここまで、認証カテゴリと、それらのカテゴリ内にあるさまざまなメカニズムについて多くを説明してきました。最新の MFA は、もはやログイン時に要素を集めるだけのものではありません。適切なタイミングで適切なレベルの信頼を適用することが重要です。MFA をコンテキスト、デバイス、行動、トランザクションシグナルと組み合わせることで、組織は各インタラクションのリスクに応じて認証を適応させる、より広範な Verified Trust モデルへと進むことができます。その前提は、次の要素に基づいて特定の操作のリスクを動的に評価することです。

1. ユーザーの現在の認証ステータス
2. 対象リソースに関連するリスク
3. リクエストのコンテキスト

これにより、リスクが低い場合には追加の認証要素を省略できるため、使いやすさとユーザーの利便性を向上させることができます。たとえば、ユーザーが管理対象デバイスから、普段よく使用している IP アドレスを使い、通常サインインする時間帯にログインしている場合などです。

Adaptive MFA はコンテキストシグナルを使用して、行動、デバイスの状態、またはトランザクションの詳細が通常の範囲を外れていることを検出し、信頼度が低下した場合にのみ検証をステップアップします。たとえば、管理対象外デバイスから初めてログインするユーザー、パリからログインしてから1時間後にサンフランシスコからログインするユーザー、IP レピュテーションが低い IP アドレスからログインするユーザー、または100,000ドルを超えるトランザクションを完了しようとしているユーザーなどが該当します。そのような瞬間に、組織はリスクに見合った追加の検証を行うことで保証レベルを高めることができ、すべてのユーザーに同じレベルの摩擦を強いる必要はありません。

以下の図に示すように、あるリソースへのアクセスを許可されるには、ユーザーはパスワードなどの要素で認証します。認証時には、システムは認証シグナルも収集して確認します。これらの確認によって予期しない異常が特定された場合にのみ、アクセスが許可される前にユーザーは第2要素での認証を求められます。また、リスクが高すぎる場合は、認証ポリシーによってアクセスをまったく許可しない、または制限付き権限でのみアクセスを許可するという判断が行われることもあります。

リスクベースのステップアップ MFA は、通常とは異なる異常なコンテキストや行動によってトリガーされます。第1の認証要素を通じて収集されたコンテキストが何らかの予期しないことを示した場合にのみ、アクセスが許可される前に第2の認証要素が要求されます。

最新の MFA のベストプラクティスは、コンテキストシグナルとリスクシグナルを使用して、ユーザー、デバイス、セッションに対する信頼度を継続的に評価することで、静的な要素だけに依存しません。

最新の MFA ベストプラクティス推奨事項

組織がパスワード中心および従来型 MFA のアプローチを超えて進化し続けなければならないことは明らかです。今日の脅威環境において、ベースラインの 2FA は依然として最低ラインですが、最新の MFA ベストプラクティスでは、フィッシング耐性のある認証、適応型ポリシー、そしてリスク上昇時のより強力な検証がますます求められています。現在および新たに登場しているテクノロジーの評価、ならびに顧客、パートナー、その他のステークホルダーとの議論に基づき、当社は次の推奨事項を提示します。

1. フィッシング耐性のある認証を優先する。 AI 主導のフィッシングやなりすまし攻撃が、より巧妙かつ大規模に展開されるようになる中、組織は OTP 依存の戦略を超えて、可能な限り FIDO ベースの認証、パスキー体験、プラットフォーム認証器を採用すべきです。
2. 保証レベルとユーザー体験の両方を有意に向上できる場合は、生体認証を活用する。 特に、FIDO やその他のフィッシング耐性のある方式と組み合わせる場合に有効です。ゼロ知識生体認証のようなプライバシー保護型アプローチは、中央に保存されたシークレットや再構成可能な生体データへの依存を高めることなく、ログイン、ステップアップ、トランザクション承認、復旧フローを強化するうえでも役立ちます。
3. 複数の認証オプションを提供する。ただし、すべてのオプションが同じ信頼レベルを持つべきではありません。 最も強力な MFA 戦略は、アクセスと復旧のためにユーザーへ柔軟な選択肢を提供しつつ、より高い保証が必要な方式を高リスクのインタラクション向けに確保します。
4. 復旧経路によって保証レベルが弱まらないようにする。 ユーザーが同じ低保証のチャネルを通じて複数の要素をリセットまたは復旧できる場合、MFA は事実上、単一障害点へと逆戻りしてしまいます。
5. モバイル以外やアクセス制約のあるシナリオを考慮する。 ユーザーが安定したモバイルアクセスを利用できない場合、メッセージを受信できない場合、またはオフラインもしくは制限された環境で操作している場合でも機能する認証オプションを提供します。
6. 適応型 MFA ポリシーを使用して、コンテキスト、デバイス、行動、トランザクションリスクをリアルタイムで評価する。 これにより、MFAはより広範なVerified Trustモデルへと進化します。このモデルでは、組織はリスクの低いアクティビティにおける不要な摩擦を軽減し、ユーザー、デバイス、または意図に対する信頼度が変化した場合にのみ保証レベルを高めます。

不正防止は単なるMFAではありません

セキュリティ戦略全体を将来にわたって通用するものにする方法をご紹介します。『オンライン不正防止の究極ガイド』を入手してください。

¹ Harvard Business Review、 AIはフィッシング詐欺の量と質の両方を高めるでしょう

Ping Identityは、顧客、従業員、パートナー、そして人以外のIDにまたがるあらゆるデジタルの瞬間に信頼をもたらすことを可能にします。何百万ものユーザーを保護する場合でも、不正と戦う場合でも、サードパーティアクセスを簡素化する場合でも、パスワードレス化を進める場合でも、信頼の確立が足かせになってはなりません。当社のエンタープライズグレードのIDプラットフォームは、拡張性、スピード、柔軟性を備えて構築されており、既存のクラウド、ハイブリッド、オンプレミス環境とシームレスに連携します。私たちはRuntime Identityによって、AIと自動化を自信を持って導入できるよう支援します。これにより、あらゆるAIエージェントのID、コンテキスト、意図を継続的に検証し、そのアクションをリアルタイムで制御できます。Pingなら、すべてのデジタル体験は信頼から始まります。詳細は pingidentity.com をご覧ください。