二段階認証(二要素認証)とは

二段階認証とは、パスワードに加えて 2 つ目の確認を求めるログイン方式です。

二段階認証とは何か

Google のヘルプは、2 段階認証プロセスを、パスワードが盗まれた場合に備える仕組みと説明しています。two-factor authentication(二要素認証)と同じ意味で使っています。厳密な定義は NIST SP 800-63B Revision 4(2025 年 8 月)にあります。知っているもの(パスワード)、持っているもの(スマホやセキュリティキー)、本人の身体(生体)のうち、異なる 2 種類を持っていることを証明する方式を、多要素認証としています。

方式にはどんな違いがあるか

二段階目の方式は 4 つに分かれます。何を使うかと、NIST SP 800-63B Rev. 4 での扱いを並べます。

認証アプリのコードは、RFC 6238 という規格で決められた方式(TOTP、時刻をもとに作る使い捨てコード)で作られます。サービスとアプリが同じ秘密の値(秘密鍵)を持ち、今の時刻からそれぞれ同じコードを計算します。コードは通信で届くのではなく、秘密鍵を持つ端末の中で作られます。有効期間は既定で 30 秒です。

共有アカウントで複数人が使うと何が起きるか

二段階目は、本人だけが持つものを前提に設計されています。NIST SP 800-63B も、利用者が自分のログインの秘密を他人に教えないことを前提にしています。共有アカウントで複数人が使うと、この前提が 2 つの形で当てはまらなくなります。

1 つは、コードが 1 か所にしか出ないことです。認証アプリの秘密鍵は登録したスマホにあり、SMS は登録した電話番号に届き、セキュリティキーは 1 人の手元にあります。担当者が不在の日は、ほかの人がログインできません。Google 認証システムのように、Google アカウントにログインして複数の端末で同じコードを出せるようにするアプリもあります。ただし、その対象は自分の Google アカウントでログインした端末です。

もう 1 つは、共有すると誰が使ったか分からなくなることです。秘密鍵の QR コードを全員のスマホで読み取る運用にすると、二段階目が指すのは「秘密鍵を持つ誰か」になり、本人を特定する意味は失われます。管理方法の選択肢は 共有アカウントの管理 にまとめています。