情報セキュリティ対策技術的セキュリティ対策★★★

ある社内システムのログインは、パスワードを入力した後、あらかじめ登録した「秘密の質問」に答える2段階の手順になっている。この手順を多要素認証にするための変更として、最も適切なものはどれか。

正解：エ

ア秘密の質問を、他人に推測されにくい内容のものに差し替える。
誤り。質問の強度は上がりますが、利用者が覚えている情報を答える点は変わりません。パスワードと同じ「記憶」の要素のままなので、要素の種類は増えません。
イパスワードの最低文字数を増やし、使用する文字種の条件を厳しくする。
誤り。パスワード単体の破られにくさを高める対策です。有効ではありますが、確認する要素は「記憶」1種類のままで、多要素認証にはなりません。
ウ秘密の質問の後に、別に決めた合言葉を入力する段階を追加する。
誤り。段階が3つに増えるだけで、いずれも記憶している情報の確認です。段階数と要素の種類は別物で、これは多段階認証を延ばしたにすぎません。
エ秘密の質問に代えて、利用者本人のスマートフォンに届く確認コードの入力を求める。
正解。端末を持っていないと入力できないため「所有」の要素が加わります。記憶（パスワード）と所有の2種類を組み合わせるので多要素認証になります。

「何回聞くか」ではなく「何の種類を聞くか」

多要素認証で数えるのは、確認の回数ではなく種類です。本人確認に使える情報は、次の3種類に分けられます。

要素	中身	例
記憶	本人だけが知っていること	パスワード、PINコード、秘密の質問
所有	本人だけが持っている物	ICカード、スマートフォン、ワンタイムパスワードの生成器
生体	本人の身体や動作の特徴	指紋、顔、静脈、虹彩

このうち種類の違う2つ以上を組み合わせたものが多要素認証です。

問題の手順は、確認を2段階に分ける多段階認証です。しかし2段階とも「記憶」なので、要素としては1種類しかありません。

この違いが効くのは、攻撃を受けたときです。どこかから漏れた情報や、盗み見でパスワードが知られる状況では、同じ「記憶」に属する秘密の質問も一緒に破られる可能性があります。手元の端末という別の種類を挟むと、知識だけでは突破できなくなります。

試験では「これは多要素認証か」を判定させる形で問われます。段階の数を数えるのではなく、各段階が3種類のどれに当たるかを分類するのが確実です。