多要素認証 (Multi-factor authentication)
MFA とは？
多要素認証 (MFA) は、ログインプロセス中に追加の保護層を加えるセキュリティ手法です。ユーザーはデジタルアイデンティティを確立するために複数の認証情報を提供する必要があります。
認証 (Authentication) には主に 2 種類あります：
- SFA / 1FA (シングルファクター認証)：これは初期のログイン方法で、通常は ユーザー名 / メールアドレス / 電話番号とパスワード または ソーシャルログイン が必要です。
- MFA / 2FA (多要素認証 / 二要素認証)：MFA ではアカウントにアクセスするために少なくとも 2 つの異なる認証方法が必要となり、不正アクセスに対する防御を強化します。
認証要素とは、アイデンティティを確認するための手段です。属性ごとに分類されたさまざまな要素から選択できます：
| 種類 | 意味 | 認証要素（Logto サポート済み） |
|---|---|---|
| Knowledge | 知っていること | パスワード、メール認証コード、バックアップコード |
| Possession | 所有しているもの | SMS 認証コード、認証アプリ OTP、ハードウェア OTP（セキュリティキー） |
| Inherence | 本人であること | 指紋や顔認証などの生体認証 |
MFA フローでは、2 番目の認証ステップは 1 番目とは異なる属性タイプ（Knowledge / Possession / Inherence）を使用する必要があります。たとえば、「パスワード（Knowledge）」を最初の要素、「認証アプリ OTP（Possession）」を 2 番目の要素として使用することで、さまざまな攻撃ベクトルを効果的に軽減できます。
なぜ MFA が必要なのか？
MFA は、特に B2B や B2E サービスにとって重要なセキュリティ対策です。今日のデジタル環境で広く採用されている理由は複数あります：
- アカウントハッキング：不正なアカウントアクセスは依然として重大なセキュリティ脅威です。しかし、MFA は強力な保護を提供し、特にパスワード漏洩によるアカウントハックの 99.9% を効果的に防ぎます。パスワードレスログイン、強力なパスワードポリシー、パスワードマネージャー、攻撃対策などの戦略と組み合わせることで、コスト効率よくセキュリティを強化できます。
- SaaS の普及：多くの企業が従業員を保護し、機密データや資産を守るために MFA を導入しています。LastPass の調査によると、世界の企業の 57% が MFA を利用しており、前年から 12% 増加しています。
- 規制遵守：MFA は、GDPR や NIST などのデータ保護規制への準拠を維持するのに役立ち、ユーザーデータの安全性を確保します。
Logto のサポート
Logto では、複雑な設定なしでワンクリックで MFA を有効化できます。まずは 認証要素の有効化 のクイックガイドをご覧ください。
サポートされている MFA 要素：
- パスキー (WebAuthn)：セキュリティキーや生体認証を使ってパスワードレス体験を実現します。
- 認証アプリ OTP：Google Authenticator や Authy などの認証アプリが生成する時限ワンタイムパスワード（TOTP）を使用します。
- SMS 認証：SMS メッセージでワンタイムコード（認証コード）を送信して認証します。
- メール認証：メールメッセージでワンタイムコード（認証コード）を送信して認証します。
- バックアップコード：緊急時アクセス用の使い捨てバックアップコードを生成します。