多要素認証とは？たようそにんしょう
多要素認証とは、知識・所持・生体という種類の異なる要素を二つ以上組み合わせて本人を確認する方式。同じ種類を重ねても、一つの攻撃手口でまとめて破られる可能性が残るため要素数には数えない。何を組み合わせるかは、破られ方が独立しているかどうかで選ぶという考え方が基礎になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
合言葉だけで本人を確かめる仕組みは、その合言葉が漏れた瞬間に何の防御も残らない。総当たりや使い回しの照合、偽サイトでの入力誘導と、漏れる経路は増える一方で、長く複雑にする方向の対策は利用者の負担を上げるだけで漏えいそのものを止められない。異なる性質のものを重ねるという発想は、一つの経路が破られても残りが立っている状態を作るために採られた。
具体例
公的個人認証サービスでは、マイナンバーカードという所持要素と暗証番号という知識要素を組み合わせる。オンラインではFIDO2に基づくYubiKeyやスマートフォンの生体認証が所持と生体を束ね、サーバ側にパスワードを預けない形をとる。カード決済の3Dセキュア2.0は、端末や場所の情報から普段と違う取引だけに追加確認を求めるリスクベース認証の実装例である。
試験での引っ掛け
パスワードと秘密の質問はどちらも知識なので、二つ課しても多要素ではなく多段階認証にとどまる。逆にICカードとその暗証番号は所持と知識で多要素になる。SMSで受け取る確認コードは所持要素として扱われるが、番号の乗っ取りで奪われうるため、要素として数えられることと安全性が高いことは別問題である。
関連用語
出た過去問
出典：平成28年度 秋期 応用情報技術者試験 午前 問40（IPA）解説で登場
リスクベース認証の特徴はどれか。
正解：普段と異なる環境からのアクセスと判断した場合、追加の本人認証をすることによって、一定の利便性を保ちながら、不正アクセスに対抗し安全性を高める。
要点：リスクベース認証は普段と違うときだけ認証を追加する
リスクベース認証は、アクセス元のIPアドレスや端末、時間帯などの情報から普段と異なる状況かどうかを判断し、通常と違うと判定したときだけ追加の認証を求める方式です。日常的な利用では手間を増やさず、なりすましが疑われる場面でだけ確認を強めるため、利便性と安全性を両立できます。常に2種類の認証を課す多要素認証とは考え方が異なります。
出典：令和6年度 秋期 応用情報技術者試験 午前 問40（IPA）解説で登場
パスワードリスト攻撃に該当するものはどれか。
正解：どこかのWebサイトから流出した利用者IDとパスワードのリストを用いて、他のWebサイトに対してログインを試行する。
要点：パスワードリスト攻撃は流出した資格情報を別サイトで使い回す
パスワードリスト攻撃は、他のサイトから漏えいした利用者IDとパスワードの組をそのまま用いて、別のサイトへログインを試みる攻撃である。同じ資格情報を複数サービスで使い回している利用者が被害に遭う。対策は使い回しの禁止と多要素認証の導入である。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (8) 情報セキュリティに関する技術に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。