📌 結論から理解する
認証＝「本人確認」、MFA＝「複数の方法で確実に確認」
認証（Authentication）とは、アクセスしようとしている主体が「本当に本人か」を確認する仕組みです。
MFA（多要素認証）は、異なる種類の認証要素を2つ以上組み合わせることで、パスワード漏えいだけでは侵入できなくする強力な防御です。
「認証の3要素」「二要素認証と二段階認証の違い」「MFAの具体例」が頻出。
認証の3要素
🧠
知識要素
Something you know
パスワード・PIN・秘密の質問
📱
所持要素
Something you have
スマホ・ICカード・ワンタイムパスワード（OTP）・ハードウェアトークン
👁️
生体要素
Something you are
指紋・顔認証・虹彩・静脈パターン
MFAはこの3要素のうち異なる種類を2つ以上組み合わせる認証方式です。
二要素認証と二段階認証の違い
| 用語 | 説明 | 例 |
|---|---|---|
| 二要素認証（2FA） | 異なる種類の認証要素を2つ使う （知識＋所持 など） |
パスワード（知識）＋SMSで届くOTP（所持） |
| 二段階認証 | 認証を2回行う（同じ種類でも可） | パスワード（知識）＋秘密の質問（知識） |
「二段階認証は同じ種類の要素を2回使う可能性があるので、MFAより安全性が低い場合がある」という理解が重要。
MFAの具体的な仕組み
パスワード＋スマホOTPによるMFAの流れ
1
ユーザーがID・パスワードを入力（知識要素）
2
スマホのOTPアプリ（Google Authenticator等）に30秒有効なワンタイムパスワードが表示される（所持要素）
3
そのOTPをサイトに入力 → 2種類の認証成功でログイン完了
パスワードが漏えいしても、スマホを持っていなければ侵入できない。これがMFAの強さ。
認証と認可の違い
🪪
認証（Authentication）
「あなたは誰ですか？」
本人確認の仕組み
例：ログイン時のパスワード確認
本人確認の仕組み
例：ログイン時のパスワード確認
🔑
認可（Authorization）
「あなたは何をしてよいですか？」
アクセス権限の付与
例：ログイン後のファイル閲覧権限
アクセス権限の付与
例：ログイン後のファイル閲覧権限
「ログインできた＝何でもできる」は誤り。ログイン（認証）後に権限（認可）でできることが決まります。
SSO（シングルサインオン）
SSO（Single Sign-On）は1回の認証で複数のシステムを利用できる仕組みです。
メリット
- ユーザーの利便性向上
- パスワード管理の簡略化
- 認証の一元化
デメリット・リスク
- SSOが侵害されると全システムが危険
- SSOサーバの可用性が重要
「SSO＝1回ログインで複数システム利用可能、ただし侵害時のリスクも集中する」がポイント。
🧠 確認クイズ
Q1. 多要素認証（MFA）の説明として正しいのは？
Q2. 認証と認可の違いとして正しいのは？
Q3. SSOのデメリットとして正しいのは？