ジェイソン：このレッスンでは､
MFAとしても知られる多要素認証について説明します｡
さて､ モバイル・デバイスを使用する際には､
そのデバイスのロックを解除して使い始めるために認証を受けることになる｡
スマートフォンについて考えてみると､ スワイプアップするとき､
そのデバイスのロックを解除して使い始めるために､
最初は顔､ 指､ 暗証番号､ パスワードのいずれかを使うことになる｡
その際､ デバイスのロックを解除するために使用するものは､
認証要素として知られている｡
さて､ サイバーセキュリティの世界では､
5つの異なる認証要素を使うことができる｡
これらは知識要因､ 所有要因､
付着要因､ 行動要因､ 場所要因として知られている｡
さて､ 知識要素について見てみると､
これは認証の最も単純な形であり､ 私たちはこれを「あなたが知っている何か」と呼んでいる｡
ユーザー名､ 暗証番号､
パスワードのようなものについて考えているなら､
これらはすべて知識要素である｡
そして､
そのパスワードを知っているからこそ､ そのパスワードに関連付けられたユーザー名の人物であることを認証できる｡
さて､ ナレッジ・ファクターの最大の問題は､
キーボードやエンド・ユーザーによって入力される単語や数字に過ぎないため､
ナレッジ・ファクターが最も破られやすいということだ｡
つまり､ 4桁の暗証番号でスマートフォンを保護している場合､
私は実際にそこに座ってそれを推測しようとすることができ､ 4桁の番号で可能な組み合わせは1万通りしかない｡
だから､ 最終的には番号を推測して､ あなたのデバイスに侵入することができる｡
それが知識要素の弱点だ｡
二つ目の要因は､ いわゆるポゼッション要因だ｡
これはあなたが持っているものだ｡
さて､ もしあなたが大企業の環境で働いているなら､ RSAキーフォブと呼ばれるものが発行されているかもしれない｡
そして､ これは小さな液晶ディスプレイを備えた小さな装置で､
6つの数字が表示され､ 30秒から60秒ごとに数字が変化する｡
さて､ これと同期しているデバイスにログインしようとすると､
この6桁の数字を入力することになる｡
そして､ この6桁の数字は30秒から60秒ごとに変化している｡
つまり､ 正しい数字を知っているということは､
あなたがそのキーフォブを所有しているという証明になるわけで､
これを私たちは所有要素と呼んでいる｡
他の方法としては､ 物理的なトークンなどを使う方法がある｡
たとえば､ アメリカ政府では､ コンピューターにログインしようとするとき､
小さなマイクロチップが埋め込まれた身分証明書を使う｡
そのカードをコンピューターに入れれば､
IDカードを所持していることが証明され､
本人であることがわかる｡
さて､ 3つ目の要因は､ いわゆる「非干渉性」である｡
さて､ インヒアレンス・ファクターとは何か｡
私はこれを体の一部と考えたい｡
だから､ あなたが干渉係数や何かについて考えるとき､
私たちは本当にバイオメトリクスの話をしているんだ｡
つまり､ もしあなたの携帯端末が指紋を使ってロックを解除するのであれば､
それは非干渉要素ということになる｡
同様に､ Face IDのようなものを使っている場合､ 顔の構造を見て､
それを使って携帯電話のロックを解除できるようにするのであれば､ それもバイオメトリック要素である｡
だから､ 私たちはこれをインヒアレンス・ファクターと呼んでいる｡
第4の要因は､ 私たちが行動要因と呼ぶもので､ 私はこれを「あなたがすること」と呼びたい｡
さて､ 行動因子を見る場合､ これは特定の物事を行う方法に基づくことになる｡
モバイル機器ではあまり一般的ではないが､
他の分野では使われている｡
例えば､ 私が以前働いていたある施設では､
建物に入ってくるところを検知するカメラシステムが設置されていた｡
なぜこのようなことをしたかというと､
実際に従業員がドアまで歩いていくときの歩幅を計測していたのだ｡
そして､ この行動は各人に固有のものであるため､
彼らはこれを､ その人が本人であることを認証する要素のひとつとして使っていた｡
もうひとつ､ 音声認識システムでの振る舞いがある｡
さて､ 音声認識は干渉要因になると思われるかもしれないが､
認証システムの設定次第ではそうなる可能性もある｡
しかし､ 実際のところ､ ほとんどの音声認識システムは､ あなたが何を言ったかを見ているのではなく､
あなたがどう言ったかを見ているのです｡
人によって言い方が違うからだ｡
そして､ 私たちの声には独特のピッチがあり､
特定の言葉の言い方がある｡
だから､ これは行動的な要因にもなり得る｡
第5の認証要素は､ いわゆるロケーション要素で､
私はこれを「あなたがいる場所」と呼びたい｡
今､ あなたのデバイスにはGPSレシーバーが内蔵されている｡
つまり､ 位置情報を認証プロセスの一部として使用し､
特定の地域にいるときのみその携帯電話にログインして使用できるようにすることができるのです｡
それは国かもしれないし､ 州かもしれないし､
都市かもしれないし､ あるいはあなたのビル周辺の街区かもしれない｡
これはユースケースによるだろうが､
私は､ 本社から1ブロックの範囲内でしか操作・使用できないモバイル・デバイスを持つ組織にいたことがある｡
そして､ それ以上遠くに行くと､
これらのデバイスは実際にシャットダウンされ､
周辺に戻るまで締め出される｡
そして､ これは立地要因として知られている｡
さて､ これら5つの要素､ 知識要素､
所有要素､ 付着要素､ 行動要素､ 場所要素のいずれかを使用する場合､ これを1要素認証と呼ぶ｡
つまり､ 私がモバイル・デバイスを手に取り､ 上にスワイプし､
4桁の暗証番号を入力すれば､ それは単一の知識要素が提示されることになる｡
しかし､ これらの要素を2つ以上組み合わせると､
多要素認証と呼ばれるものになる｡
2つの要素を使用する場合､
これを2要素認証（2FA）と呼ぶこともある｡
これらの要素のうち､ 2つ､ 3つ､
4つ､ または5つが混在している場合､
2つ以上の要素があるため､ これは多要素認証とも呼ばれます｡
今､ あなたが企業から発行されたデバイスを持っている場合､
企業はMDMまたはモバイルデバイス管理ソフトウェアを使用して､
あなたがそのデバイスにアクセスできるようにするための要件を正確に決定することができます｡
これは､ PINや一定の文字数の長いパスワードを設定するような簡単なものから､
指紋や顔スキャンなどのインヒアレンス要素やバイオメトリクス認証の使用を要求される場合もある｡
これは､ 企業のポリシーや､ 使用しているシステムやデバイス､
そしてそれらが何をサポートしているかによって決定される｡
最近のほとんどのスマートフォンは､ 少なくとも1つのバイオメトリック要素またはインヒアレンス要素をサポートしている｡
そしてそれは､ 使っているモデルによって､ 指紋か顔スキャンのどちらかになる｡
最近のスマートフォンのもうひとつの用途は､
二要素認証システムの一部としての利用だ｡
ウェブサイトにアクセスすると､
ユーザー名とパスワードを使ってログインさせられることがよくある｡
そして､ あなたのスマートフォンに固有のコードが記載されたテキストメッセージが送られる｡
ユーザー名とパスワードという知識的要素と､
スマートフォンを持っていてテキストメッセージを受け取るという所有的要素だ｡
最近では､ 2要素認証や多要素認証を使用するウェブサイトが増えています｡
これを支援するために､ Authenticatorと呼ばれるアプリをダウンロードすることもでき､
これはモバイルデバイスの内部で所有要素となる｡
Authenticator を使用すると､ 2FA または
MFA をサポートするウェブサイトに登録できます｡
そして､ スマートフォンがキーフォブの役割を果たし､
認証しようとしているウェブサイトと同期し続けるため､
物理的なキーフォブ・デバイスを持つことなく､
ランダムなコードを作成するために使用される｡
ですから､ 多要素認証について考えるときには､
このことを念頭に置いてください｡
多要素とは､ これらの要素を2つ以上持っていることを意味する｡
さて､ 多要素認証に関して最後に言っておきたいのは､
これはよく学生がつまずくことなのだが､
2つの要素があるからといって､ まだ多要素認証ができているとは限らないということだ｡
ユーザー名､ パスワード､ 暗証番号でログインさせたとしたら､
それは2つの知識要素となる｡
しかし､ これは二要素認証でも多要素認証でもない｡
どちらも知っていることであり､
知識的な要素である｡
二要素認証または多要素認証を行うには､
知識､ 所有､ 内在､ 行動､ 場所の5つの要素から2つ以上のカテゴリーを代表させる必要がある｡