多要素認証
多要素認証に該当するものはどれか。
- アパスワードを入力した後，利用者が所持するスマートフォンの認証アプリに表示されたワンタイムパスワードを入力する。
- イパスワードを入力した後，事前に登録した秘密の質問に対する答えを入力する。
- ウ指紋認証を行った後，同じ利用者の手のひら静脈による認証を行う。
- エ長さが 16 文字以上で，英大文字，英小文字，数字及び記号を全て含むパスワードを入力する。
正解と解説を見る
正解 ア
この問題の基礎知識
- 認証の要素は，知識（パスワード，PIN，秘密の質問など），所持（スマートフォン，IC カード，ハードウェアトークンなど），生体（指紋，静脈，顔など）の三つに分類される。
- 多要素認証は異なる種類の要素を組み合わせる認証であり，同じ種類の要素を複数組み合わせても多要素認証にはならない。
- 認証を 2 回に分けて行う二段階認証は，同じ種類の要素を使う場合もあるので，必ずしも多要素認証とは限らない。
- ワンタイムパスワードを生成する認証アプリやトークンは，その端末を持っていることを示す所持要素として扱われる。
アパスワードを入力した後，利用者が所持するスマートフォンの認証アプリに表示されたワンタイムパスワードを入力する。正解
パスワード（知識）と，利用者が所持するスマートフォンで生成されるワンタイムパスワード（所持）という異なる種類の要素を組み合わせているので，多要素認証に該当する。
イパスワードを入力した後，事前に登録した秘密の質問に対する答えを入力する。
パスワードも秘密の質問の答えも利用者の記憶に基づく知識要素であり，二段階ではあるが同じ要素の組合せなので多要素認証ではない。
ウ指紋認証を行った後，同じ利用者の手のひら静脈による認証を行う。
指紋と静脈はいずれも生体要素であり，同一種類の要素を二つ組み合わせても多要素認証には該当しない。
エ長さが 16 文字以上で，英大文字，英小文字，数字及び記号を全て含むパスワードを入力する。
複雑なパスワードであっても知識要素一つだけによる認証であり，多要素認証には該当しない。
検証用の出典出典照合済み
NIST SP 800-63-4 Digital Identity Guidelines ／ NIST SP 800-63B-4 Authentication and Authenticator Management照合の根拠（4 件）
- ア（正解）: 異なる要素の組合せが多要素認証。イ・ウ（誤り）: 同じ要素を複数使っても単一要素。エ（誤り）: パスワード 1 つは単一要素
Multiple instances of the same factor still constitute single-factor authentication. For example, a user-generated PIN and a password do not constitute two factors as they are both “something you know.” Multi-factor authentication (MFA) refers to the use of more than one distinct factor.
NIST SP 800-63-4 · Section 2.3.1（新しいタブで開きます） - ア（正解）: OTP は所持要素
The OTP is displayed on the authenticator and manually input for transmission to the verifier, thereby proving possession and control of the authenticator. A single-factor OTP authenticator is “something you have.”
NIST SP 800-63B-4 · Section 3.1.4（新しいタブで開きます） - ア（正解）: パスワードは知識要素
A password is “something you know.”
NIST SP 800-63B-4 · Section 3.1.1（新しいタブで開きます） - イ（誤り）: 秘密の質問は知識に基づく認証であり，所持・生体要素にならない
Knowledge-based authentication (KBA), where the claimant is prompted to answer questions that are presumably known only by the claimant, does not constitute an acceptable secret for digital authentication.
NIST SP 800-63-4 · Section 2.3.1（新しいタブで開きます）
SP 800-63B（2017）は 2025-08 に廃止され SP 800-63B-4 に置き換えられたため，現行版で照合し sources を更新した。