DAY44で学びました。

• ✅ 長くする
• ✅ 使い回さない
• ✅ 管理ツールを使う

でも現実はこうです。

フィッシング、情報漏えい、総当たり攻撃。
どれだけ注意しても、100％防ぐのは難しい。

そこで登場するのが👇

まず結論です。

認証には3つの種類があります。

理由はシンプル

例

ITサポートの推奨

パターン

利用者にはこう伝えます

優先度高い順です

• ✅ パスワードは不完全（漏れることがある）
• ✅ 異なる2種類で守る（知識・所有・生体）
• ✅ 認証アプリ推奨（SMS < 認証アプリ）
• ✅ フィッシング対策になる（最後の砦）
• ✅ 面倒＝安全性（手間は必要コスト）

📊 今日のゴール

• ✅ 二要素認証の定義と仕組みを理解する
• ✅ 3つの認証要素（知識・所有・生体）を学ぶ
• ✅ なぜ2FAが安全なのかを理解する
• ✅ 3種類の2FA方法（SMS・認証アプリ・生体）を比較する
• ✅ 実務的な運用方法と注意点を学ぶ

📝 DAY45まとめ

• パスワードの限界：DAY44で長く・使い回さない・管理ツール使用を学んだが、フィッシング・情報漏洩・総当たり攻撃で100%防ぐのは困難。パスワードは盗まれることがある
• 二要素認証の定義："別種類の鍵を2つ使う"仕組み。通常ログイン（ID+パスワード＝1つの壁）、二要素認証（パスワード+別の確認＝2つの壁）
• 2FAの効果：アカウント侵害を99.9%防止（Microsoft）。①パスワードのみ：侵害リスク100%、②SMS認証：約4%、③認証アプリ：約0.1%。最も費用対効果の高いセキュリティ対策
• 2FA導入率：Googleアカウント70%、企業92%義務化。個人30%が未設定で不正アクセスの主要経路
• 実際の被害削減：①フィッシング被害-99.9%、②パスワード問い合わせ-87%、③アカウント復旧コスト-92%、④インシデント対応時間-76%（18時間→4時間）
• 3つの認証要素：①知識情報（知っているもの）：パスワード、暗証番号、秘密の質問、②所有情報（持っているもの）：スマホ、認証アプリ、セキュリティキー、③生体情報（あなた自身）：指紋、顔認証、虹彩。二要素認証＝この中の異なる2種類
• なぜ安全：両方同時に盗むのが難しいから。パスワード漏れても、スマホは盗まれていない→突破できない
• ①SMS認証：電話番号にワンタイムコード（6桁）送信。メリット：設定簡単、アプリ不要。デメリット：SIMスワップ攻撃、SMS傍受、圏外不可。手軽だが弱点あり
• ②認証アプリ（推奨）：TOTP（時間ベース）で30秒ごとに6桁コード生成。メリット：オフライン動作、SMS傍受されない、SIMスワップ無効、複数アカウント管理可。デメリット：アプリ設定必要、スマホ紛失でリスク、バックアップ必須。今の主流（最推奨）
• ③生体認証：指紋センサー、カメラで本人確認。メリット：入力不要、盗まれにくい、忘れない。デメリット：デバイス依存、変更不可、補助的役割
• 主要認証アプリ：①Google Authenticator（シンプル、バックアップ弱い）、②Microsoft Authenticator（クラウドバックアップあり）、③Authy（複数デバイス同期可）
• TOTPの仕組み：①共通秘密鍵（QRコードで共有）、②現在時刻（30秒単位）、③ハッシュ関数で6桁コード生成。サーバーとアプリが同じアルゴリズム→ネット不要
• SMSの脆弱性：①SIMスワップ攻撃：携帯キャリア騙して電話番号移す（FBI年間2,000件）、②SMS傍受：SS7プロトコル脆弱性悪用、③リアルタイムフィッシング：偽サイトでパスワード+SMSコード同時入力させ即使用（+43%）
• フィッシング耐性：FIDO2/WebAuthn（セキュリティキー）は物理キー+ドメイン認証で完全なフィッシング耐性。Google社内2017年から義務化でフィッシング被害ゼロ達成
• フィッシング対策：①パスワード入力（フィッシングサイトで）、②攻撃者ログイン試行（盗んだパスワードで）、③二要素認証でブロック（認証アプリコードなし）→被害を止める最後の砦
• ITサポートの伝え方：「パスワードは漏れる前提で考えましょう」「二要素認証は保険です」。怖がらせず、現実的に
• 注意①スマホ紛失：バックアップコード印刷して金庫保管。複数デバイスに認証アプリインストール（Authy等）
• 注意②設定忘れ：初期設定時に必ず有効化。QRコードをスクリーンショット（安全な場所に）
• 注意③面倒でOFF：最大リスク。一度ONにしたら絶対OFFにしない。面倒＝安全性の証
• バックアップコード：8〜10桁コード（通常10個）。スマホ紛失時の唯一の復旧手段。保管：印刷して金庫（推奨）、パスワード管理ツール、暗号化USB。NG：クラウドに保存、デスクトップ、メール送信
• 機種変更：①新スマホに認証アプリインストール、②旧スマホで各サービスQRコード再表示、③新スマホでスキャン。Authyは複数デバイス同期可で機種変更楽だがセキュリティ若干低下
• 導入優先順位：①メール（パスワードリセット起点、全サービス危険）、②クラウドストレージ（機密情報保存）、③管理者アカウント（Microsoft 365、Google Workspace等）、④会計・金融系（金銭被害直結）→影響範囲が大きい順