# 多要素認証 (2FA) | password.es

> SMS・認証アプリ・ハードウェアキー (YubiKey など) の仕組みと長所短所を理解し、最も強力な多要素認証 (2FA) を選ぶためのガイド。

password.es · Original: https://password.es/ja/2fa/

---

# 多要素認証：攻撃者が突破できない第二の防壁

2FA は「知っているもの（パスワード）」に「持っているもの／本人であること」を組み合わせます。パスワードが流出しても、第二要素がなければ侵入されません。各方式を確認し、最適なものを選びましょう。

## 1 MFA が重要な理由

パスワードの使い回しや漏えいは避けられません。ワンタイムコード、プッシュ通知、ハードウェアキー、生体認証といったリアルタイムの確認を追加することで、特に管理者・金融・メールアカウントのリスクを大幅に削減できます。

## 2 代表的な 2FA の種類

### SMS（最も脆弱）

対応サービスは多いものの、SIM スワップや SS7 の盗聴、フィッシングに弱いです。より強力な手段がない場合のみ利用しましょう。

### メッセージアプリ（WhatsApp、Telegram など）

メッセージが暗号化される分 SMS よりは安全ですが、電話番号に依存するためアカウントが乗っ取られると危険です。

### 認証アプリ（TOTP）

共有シークレットから 30 秒ごとにオフラインコードを生成します。多くのサービスで推奨される方法です。代表的なアプリ：

- Google Authenticator
- Microsoft Authenticator
- Authy
- [1Password](https://www.kqzyfj.com/click-8979828-17036393)/[Bitwarden](https://github.com/bitwarden) の組み込み TOTP
- Duo Mobile、Aegis、2FAS など

### プッシュ型認証

Okta、Duo、Microsoft、Google などがログイン承認のプッシュ通知を送ります。利便性が高い一方で、プッシュ爆撃（連続通知）攻撃に注意が必要です。不審な通知は必ず拒否しましょう。

### ハードウェアセキュリティキー

**YubiKey**、**Feitian**、**SoloKeys** などの FIDO2/WebAuthn デバイスはフィッシング耐性を持つ 2FA を提供します。ログイン前にドメインを検証し、パスキーや PGP をサポートするものもあります。

### プラットフォーム認証・パスキー

Windows Hello、Touch ID、Face ID、Android のパスキーなどデバイスに組み込まれた方式です。WebAuthn を用い、フィッシングに強く使い勝手も優れています。

## 3 強度と利便性の比較

- 方式
- セキュリティ
- 使いやすさ
- 主なリスク
- SMS
- 低
- 非常に高い
- SIM スワップ、盗聴、偽のリセットメール
- 認証アプリ
- 高
- 中
- 端末紛失、バックアップ不足
- プッシュ通知
- 高
- 高
- プッシュ爆撃／疲労攻撃
- ハードウェアキー
- 非常に高い
- 中
- 紛失、コスト、ポート不足
- パスキー／生体認証
- 非常に高い
- 非常に高い
- サービス対応状況が移行中

## 4 ベストプラクティス

- SMS より認証アプリやハードウェアキーを優先する。
- 最低 2 種類の要素（予備デバイスまたはキー＋復旧コード）を登録する。
- 復旧コードはオフラインの安全な場所に保管する。
- 共有アカウントや管理者にはハードウェアキーを義務化する。
- 対応するサービスではパスキーを有効化し、スムーズに安全なログインを行う。

## FAQ

### ハードウェアキーを失くしたら？

予備キーや復旧コードを使います。設定時に複数キーを登録しておけばロックアウトを防げます。

### 認証アプリのコードを新しい端末に移すには？

Authy はクラウド同期に対応しています。その他のアプリは QR コードを再スキャンするかエクスポートします。新端末で動作確認が取れるまで旧端末を保持してください。

### アプリのコードはフィッシングされる可能性がある？

はい。リアルタイムの中継攻撃で盗まれる恐れがあります。ハードウェアキーやパスキーはログイン先ドメインを検証するため、フィッシング耐性があります。

## 多要素認証チェックリスト

- メール、銀行、クラウド管理コンソールなどから順に 2FA を有効化する。
- ゼロナレッジ設計のマネージャーに強力でユニークなパスワードを保管する。
- 重要な役割には FIDO2 キーなどフィッシング耐性のある要素を導入する。
- 予期しない MFA 要求やコード共有依頼を拒否するようチームを教育する。
- インシデント対応後は復旧コードを見直し、必要に応じて更新する。

## 免責事項

password.es は現状のまま提供されます。サービスの可用性、情報の正確性、生成パスワードの安全性は保証されません。2FA を導入する際も、強力なパスワード衛生とデバイスセキュリティを組み合わせる責任は利用者にあります。