認証要素・MFAとは（全体像）
ログインのとき、システムは「この人は本人か」を確かめる。その確かめる材料の種類を認証要素という。基本は次の3つだ。
- 知識要素（Something you know）… パスワードやPINなど、本人だけが知っていること。
- 所持要素（Something you have）… スマホやICカードなど、本人だけが持っているもの。
- 生体要素（Something you are）… 指紋や顔など、本人の体の特徴。
そして、これらの種類のちがう要素を2つ以上重ねるのがMFA（多要素認証）。ひとつが破られても、もうひとつが残るので強くなる。
詳しく：3要素とMFAの条件を押さえる
ここが心臓部。まず認証要素を整理する（現代では位置・行動も加わる）。
認証要素の種類
| 要素 | 内容（例） |
|---|---|
| 知識（know） | パスワード・PIN・秘密の質問 |
| 所持（have） | スマホ・ICカード・認証アプリ（TOTP）・YubiKey |
| 生体（are） | 指紋・顔・虹彩・静脈・声 |
| 位置（where） | GPS・IPアドレス（社内か社外か） |
| 行動（do） | タイピングの癖・歩き方 |
MFAで大事なのは「種類がちがう」こと。ここを混同しやすい。
MFAになる組み合わせ・ならない組み合わせ
| 組み合わせ | MFAか |
|---|---|
| パスワード（知識）＋指紋（生体） | ○ MFA（種類がちがう） |
| パスワード（知識）＋スマホのアプリ（所持） | ○ MFA（種類がちがう） |
| パスワード＋秘密の質問（どちらも知識） | ✗ MFAではない（同じ種類） |
言葉を噛み砕いておく。
- MFAの条件 … ただ2つ重ねればよいのではなく、種類のちがう要素を2つ以上。パスワードと秘密の質問はどちらも知識なのでMFAにならない。
- TOTP … 認証アプリ（Google Authenticatorなど）が30秒ごとに変わる数字を出す方式。これは「アプリを持っている」ので所持要素にあたる。
- SMSの注意 … SMSで届くコードも使われるが、電話番号を乗っ取るSIM Swapという攻撃のリスクがある。より安全な認証アプリが推奨される。
わかりやすく言い換えると
つまり、認証要素は本人確認の材料を「種類」で分けたもの。「知っていること（合言葉）／持っているもの（鍵・カード）／体の特徴（顔・指紋）」の3種類が基本だ。
MFAは、この種類のちがう材料を2つ以上重ねること。身近な例が銀行で、キャッシュカード（持っている）＋暗証番号（知っている）の2段構え。1つ盗まれても、もう1つがないと使えない。
ここで大事なのは、同じ種類を2つ重ねても弱いということ。合言葉を2つ知っていても、両方まとめて漏れたら意味がない。だからちがう種類を組むのが肝心になる。
試験のツボ
🔴 一番出る：3つの認証要素
①知識（知っている）・所持（持っている）・生体（体の特徴）
②現代は位置・行動も加わる
🔴 次に出る：MFAの条件
①種類のちがう要素を2つ以上重ねる（2要素以上）
②同じ種類を2つ（パスワード＋秘密の質問など）はMFAではない
🟡 押さえると安定：TOTPは所持要素（30秒ごとのOTP）／SMSはSIM Swapのリスクで認証アプリ推奨
よくある間違い
①「パスワードを2つ使えばMFAになる」→ ✗ どちらも知識要素で同じ種類。MFAは種類のちがう要素を2つ以上重ねる。
②「SMSで届くコードは最も安全な方法」→ ✗ SIM Swapで電話番号を乗っ取られるリスクがある。認証アプリのほうが推奨される。
③「生体認証だけあれば他の要素はいらない」→ ✗ 強くするには種類のちがう要素を重ねるのが基本。1要素だけに頼らない。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（認証要素の種類）
認証要素に関する次の記述のうち、正しいものはどれか。
- 認証要素はパスワードという1種類しかなく、指紋やスマホは本人確認にはいっさい使えないとされている
- 認証要素とは通信を暗号化するための鍵のことで、本人かどうかを確かめることとはまるで無関係とされているのだ
- 認証要素には知識（知っていること）・所持（持っているもの）・生体（体の特徴）という基本の3種類がある
- 認証要素は会社の就業規則を記録するための分類で、ログインの本人確認とは関係しないものとされている
解答は 3 である。
認証要素の基本は、知識（知っていること）・所持（持っているもの）・生体（体の特徴）の3種類。現代ではこれに位置・行動が加わる。
選択肢1は「パスワード1種類だけ」が誤り。選択肢2は暗号化の鍵と取り違えている。選択肢4の就業規則の分類も誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 指紋やスマホも認証要素になる |
| 2 | ✗ | 暗号化の鍵ではなく本人確認の材料 |
| 3 | ✓ | 知識・所持・生体の3種類で正しい |
| 4 | ✗ | 就業規則の分類ではない |
オリジナル問題2（MFAの条件）
MFA（多要素認証）に関する次の記述のうち、正しいものはどれか。
- MFAは種類のちがう認証要素を2つ以上重ねるしくみで、パスワードと指紋の組み合わせはその一例である
- MFAはパスワードと秘密の質問のように、同じ知識要素を2つ重ねれば成立するしくみであるとされているのだ
- MFAは1つの要素だけをくり返し何度も入力する方式で、要素の種類を増やすことはないとされているものだ
- MFAは認証をいっさい行わずにログインを素通りさせる方式で、本人確認を省くためのしくみとされている
解答は 1 だ。
MFAは、種類のちがう認証要素を2つ以上重ねるしくみ。パスワード（知識）＋指紋（生体）のように、ちがう種類を組み合わせるのが条件だ。
選択肢2は「同じ知識要素を2つ」が誤りで、それはMFAにならない。選択肢3は「1つの要素をくり返す」が誤り。選択肢4は本人確認を省くという誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 種類のちがう要素を2つ以上で正しい |
| 2 | ✗ | 同じ種類を2つではMFAにならない |
| 3 | ✗ | 1要素のくり返しではない |
| 4 | ✗ | 本人確認を省くものではない |
オリジナル問題3（TOTPとSMS）
認証の方法に関する次の記述のうち、正しいものはどれか。
- 認証アプリが出すTOTPは知識要素にあたり、30秒ごとに変わることはない固定の番号であるとされている
- SMSで届くコードはSIM Swapの心配がいっさいなく、どんな攻撃に対してもまったく完全に安全とされているものだ
- TOTPもSMSも認証とは無関係の通知機能にすぎず、本人確認の手段としては使われないとされているのだ
- TOTPは認証アプリが出す所持要素のしくみで、SMSはSIM Swapのリスクがあり認証アプリのほうが推奨される
解答は 4 だ。
TOTPは認証アプリが30秒ごとに出す番号で、「アプリを持っている」ので所持要素。SMSは便利だがSIM Swapで電話番号を乗っ取られるリスクがあり、認証アプリのほうが推奨される。
選択肢1はTOTPを「知識要素・固定番号」とする誤り。選択肢2は「SMSは完全に安全」が誤り。選択肢3は「認証に使われない」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | TOTPは所持要素で30秒ごとに変わる |
| 2 | ✗ | SMSはSIM Swapのリスクがある |
| 3 | ✗ | どちらも本人確認に使われる |
| 4 | ✓ | TOTPは所持要素・SMSは注意で正しい |
まとめ
押さえどころ
- 🔴 認証要素 ＝ 本人確認の材料の種類。基本は知識・所持・生体の3つ（現代は位置・行動も）。
- 🔴 MFAは種類のちがう要素を2つ以上。同じ種類を2つ（パスワード＋秘密の質問）はMFAではない。
- 🟡 TOTPは所持要素（30秒ごとのOTP）。SMSはSIM Swapのリスクがあり、認証アプリが推奨。
次に学ぶ
- 入力装置詳細（タッチ・生体認証） ── 生体要素で使う、指紋や顔を読み取るしくみ。
- ゼロトラストNW・BeyondCorp ── 毎回しっかり本人確認する、現代のセキュリティの考え方。
- NWセキュリティ（FW・IDS/IPS・WAF） ── 認証と並んで、通信を守る入口のしくみ。
執筆: SikakuQuest編集部