二要素認証

クラウドアプリケーションへのアクセス制御を実施しない場合、組織はセキュリティ侵害の 危険にさらされています。例えば、ツイッターのケースです。2009年に、18歳のハッカー が、Twitterの従業員のパスワードを推測しました。高い地位にある３３人の従業員のアカウントが侵害されました。連邦取引委員会は、Twitterに10年間独立した監査が必要な包括的なセキュリティプログラムの確立を義務付けました。

多要素認証とは何ですか？

米国連邦規制当局は、3つの認証要素を認めています。

• あなたが何か知っているもの - パスワード、PIN
• あなたが何か持っているもの - スマートカード、USBキー、PKI（公開鍵基盤）証明書、携帯電話
• あなたの何か - バイオメトリック特性、例えば、指紋や音声パターン

多要素認証とは、2つ以上の認証要素を使用してユーザーを認証することを意味します。理想は、異なる認証要素の組み合わせです。

多要素認証はセキュアか

複数の認証要素は、第三者があなたのパスワードを知っていても、あなたのアカウントにログインすることを防止します。あなたのパスワードは安全であると思っているかもしれませんが、複数の方法で侵害される可能性があります。多くの人々は覚えるのが簡単なパスワードを選び、いくつかのアプリケーションで同じパスワードを再利用します。あなたを知っている人は簡単にペットの名前、出生地または重要な日付を推測することができます。あなたの肩越しに見ている誰かが、あなたのパスワードを解読することができます。最後に、あなたのクレデンシャ情報を侵害する更に洗練された技術は、キーロガーです。キーロガーは、すべてのキーストロークを記録し、第三者に送信します。

認証にパスワードとUSBキーの両方が必要な場合、ハッカーはあなたのアカウントにログインするためには、クレデンシャル情報を知っている、かつ、USBキーを所持している必要があります。

認証は、複数の認証要素を組み合わせることで更にに安全にすることができます。あなたがお使いのブラウザにPKI証明書を追加したり、信頼できるIPアドレスからのみログインを許可することができます。

強力な認証要素

アプリケーションへのアクセスを安全にするために様々な第2の認証要素があります。ここではいくつかの例を示します。

• ワンタイムパスワード（OTP） - 一度だけ使用することができるユニークなパスワードです。これは複雑なアルゴリズムに基づいて生成された数字の長い文字列です。クラウドのOTPプロバイダのサーバに対してチェックされます。誰かがあなたのワンタイムパスワードを盗み取ったとしても、再利用することはできません。
• 時間ベースPIN - PINは、短時間内（例えば、30〜60秒）に入力されなければなりません。PINは、非常に正確なクロックを有するソフトウェアまたはハードウェアデバイスによって生成され得ます。PINが短期間でのみ有効であるため、セキュリティを確保できます。
• 指紋認証 - ユーザーはログイン時に指紋パッドの上に自分の人差し指を置く必要があります。アイデンティティ・プロバイダのシステムに登録されたユーザーの指紋パターンと照合されます。
• PKI証明書 - 信頼できる認証局によって発行されたPKI証明書は、ユーザーのブラウザにインストールされます。アイデンティティ・プロバイダは、有効な証明書が存在するかどうかを確認するだけでなく、無効にすることができます。有効な証明書を持つブラウザのみログインが許可されます。

ユーザ認証プロセスを更に強化するために、いくつかの要素を組み合わせることができます。

認証プロセス

OneLoginの多要素認証プロセスは簡単です。ユーザは、最初にユーザー名とパスワードを使用して認証されます。ユーザは、追加の認証要素が必要な場合、ログインページでそれらを入力するように求められます。

上記の例では、ユーザーはYubiKeyボタンを押し、ブラウザの入力フィールドに直接生成されたワンタイムパスワードを送信します。その後、OneLoginは、a) YubiKeyがアクセスしているアカウントに属する　b) 入力されたコードが以前に使用されていない、ことを検証します。

多要素認証とSaaS

会社の機密データがクラウドに配置されると、もはやあなたの会社のファイアウォールで保護するとはできません。インターネットにアクセスできる誰もがログインを試みことができます。多要素認証を使用しパスワードを排除することでセキュリティ侵害のリスクを大幅に削減することができます。