「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として「認証」と「MFA」について説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

認証は「おまえ誰？OKなやつ？」を確認する作業です。



例えば

・本人しか知らない情報を入力させる
・本人しか持っていないものを提示させる
・接続元の情報を見る

のような過程を経て、OKな人かNGな人かを判定します。



※厳密には「認証＋認可」の説明になっていますが気にしないことにします。そこら辺が気になる方は、用語「認可」の説明を ご覧ください。

MFAは「本人のみ知っていること」「本人のみ持っている物」「本人の特徴」のうち2つ以上を使って身元確認するやり方です。

「multi-factor authentication（マルチ・ファクター・オーセンティケーション）」の略で「MFA」ね。
日本語では「多要素認証」と表現されます。



※「Multi Factor Authentication」を何となく日本語にすると「複数の要素で認証」となります。[詳細]

MFAで使う「本人のみ知っていること」は、例えばパスワードです。



パスワードは本人しか知らない情報です。
それを知っていれば本人だと判断できます。

「本人のみ持っている物」は、例えばIDカードです。



IDカードは本人しか持っていない物です。
それを持っていれば本人だと判断できます。

「本人の特徴」は、例えば指紋です。



指紋は本人しか持っていない特徴です。
本人の指紋と一致すれば、本人だと判断できます。

指紋はともかく、パスワードとIDカードは、それだけで確認するのは少し不安です。
パスワードは、どこかから漏えいするかもしれません。
IDカードは、落としたのを誰かに拾われるかもしれません。
はたして本当に本人なのか、不安ですね。

だったら、組み合わせればいいじゃない。

それだけで確認するのが不安なら、他のものも確認すればいいじゃない。

そんな心意気で

１．本人のみ知っていること
２．本人のみ持っている物
３．本人の特徴

のうち2つ以上を組み合わせて確認するのがMFAです。

以上を踏まえて

もし認証がOKだったとしても、その他の部分を見て「あっ、こいつは胡散くさいな。偽者かもしれないな」と感じたら、さらに別のやり方で確認する認証のやり方

が「アダプティブMFA」です。
「リスクベース認証」とも呼ばれます。



例えば、そうですね。

ここにピヨ太君とピヨ太君のパソコンさんが いました。



ピヨ太君は他の人にパソコンを使われたく ありません。
そこで、パスワードを設定して、パスワードを知っている人しか使えないように しました。



もちろん、ピヨ太君はパスワードを誰にも教えません。
ピヨ太君のパソコンはピヨ太君しか使えないはずです。



さて、ある日のことです。

ピヨ太君は「全国の美味しい物を食べつくそう食い倒れツアー」に出かけました。
1週間かけて日本全国を回り、その土地の美味しい物を食べまくるツアーです。



それから3日後、ピヨ太君らしき人物が帰ってきました。



ピヨ太君らしき人物はパスワードを入れてパソコンさんを使おうとしました。



あれれ～おかしいぞ～。
確かに入力したパスワードは合っていますけどね。
ピヨ太君は1週間の食い倒れツアーに出かけたはずです。
3日で帰ってくるのは、ちょっと不自然です。



そこでパソコンさんは、追加で質問をしました。
別のやり方で もう1回 認証をしたのです。



おっと、今度は答えられませんでした。



パソコンさんは「こいつはピヨ太の偽者だな」と判断し、以降は、そいつの言うことを無視しました。



パソコンさん、ファインプレーです。
ピヨ太君らしき人物は変装したアクマ君でした。



このような

「たとえ認証がOKだったとしても、胡散くさいと感じたら追加で確認する」認証のやり方

がアダプティブMFAです。
使う人の状況や行動を見て、コンピュータさんが「普段と違うな」や「あれ？なんか、おかしいな」と感じたら、追加で確認をします。

ちなみに、何をもって胡散くさいと判断するかですが、いろいろな やり方があります。
分かりやすいところでは「接続元の情報」でしょうか。
例えば日本にいるはずの人がアメリカから接続してきたら「あれ？こいつは本物かな？」と思いますよね。
そんな感じです。