二要素認証の仕組み
本人を確かめるための要素は、大きく次の3種類に分けられます。
- 知っているもの（知識）：パスワード、暗証番号など
- 持っているもの（所持）：スマートフォン、セキュリティキーなど
- 本人の特徴（生体）：指紋、顔など
二要素認証は、このうち異なる2種類を組み合わせてログインする方式です。たとえるなら、銀行のATMで、キャッシュカード（持っているもの）と暗証番号（知っているもの）の両方が必要なのと同じ考え方です。暗証番号を盗み見られても、カードがなければお金は引き出せません。
なお、パスワードと「秘密の質問」のように、同じ種類の要素を重ねる方式は二要素認証には当たりません。「2段階認証」は、ログインの手順を2段階に分ける方式の呼び名で、二要素認証と同じ意味で使われることもありますが、厳密には別の考え方です。
WordPressサイトでの例
WordPressは、標準ではユーザー名とパスワードだけでログインする仕組みです。パスワードが漏れたり推測されたりすると、それだけで管理画面に入られてしまいます。
管理画面が狙われる代表的な手口は次のとおりです。
- ブルートフォース攻撃：考えられるパスワードを片端から試す
- パスワードリスト攻撃：他のサービスから漏れたIDとパスワードの組み合わせを試す
- フィッシング：偽のログイン画面にパスワードを入力させて盗む
二要素認証を設定しておけば、パスワードが知られても、2つ目の要素がなければログインできません。WordPressで使う場合は、二要素認証に対応したプラグインを導入し、スマートフォンの認証アプリに表示される数字（ワンタイムパスワード）などを2つ目の要素にするのが一般的です。
設定状況の確認方法
- 管理者の権限を持つすべてのユーザーが、二要素認証を設定しているか確認する
- プラグインの設定が「任意」になっていて、実際には誰も使っていない状態になっていないか確認する
- サーバーの管理画面、ドメインの管理画面、メールなど、WordPress以外の重要なアカウントでも二要素認証を設定できないか確認する
WordPressの管理画面だけを守っても、サーバーの管理画面に入られれば、サイトのファイルを直接書き換えられてしまいます。
導入のポイント
- 管理者のユーザーには、二要素認証を必ず設定する
- 2つ目の要素には、SMS（ショートメッセージ）で届くコードより、認証アプリを使う方法が勧められることが多くあります
- スマートフォンの紛失や機種変更に備えて、予備のログイン用コード（リカバリーコード）を安全な場所に保管しておく
- 二要素認証を入れても、パスワードは推測されにくいものにし、使い回さない
偽のログイン画面で、ワンタイムパスワードまで入力させる手口もあります。二要素認証は強力な対策ですが、ログインする画面のURLが正しいかを確かめる習慣もあわせて持っておくと安心です。
