二段階認証について

やはりそうなんですね！

となればユーザーが通常ログインした後に、「ユーザーがログイン用として使っていない連絡先」に、「ユーザー自身では登録していないパスワード」でログインしてもらうのがよいのでしょうか？

仮にユーザー自身が「マイページ内で2段階認証用のログインID（ユーザーがログイン用として使っていない連絡先）と2段階認証用のパスワードを登録する」としたら「通常ログインのログイン情報」が何かしらで外部に漏れた場合、外部の人間が「2段階認証用のログイン情報」にもアクセスできることになってしまうためほとんど意味がないようにも思えます。

しかし、2段階認証用のパスワードだけは「システム側が乱数で自動発行して2段階認証用のメールアドレスに通知する」といった仕様であれば少しは安全なのなか？と考えています。とはいえ、上記で書いた「ログイン情報のメールアドレス」はユーザーが各々で設定する任意文字列になるので、お客様側でメールボックス自体のログイン情報が漏れてしまった最悪の想定をした場合にはメールの中身自体が見られるので何の意味もなしませんよね。

このあたりはどこまで対策するのが良いのでしょうか？

横レス失礼します。

仮にユーザー自身が「マイページ内で2段階認証用のログインID（ユーザーがログイン用として使っていない連絡先）と2段階認証用のパスワードを登録する」としたら「通常ログインのログイン情報」が何かしらで外部に漏れた場合、外部の人間が「2段階認証用のログイン情報」にもアクセスできることになってしまうためほとんど意味がないようにも思えます。

「2段階認証用のパスワード」というのは何を言ってますか？

2FA の第 2 要素がメールの場合、サーバー側ではランダムでかつ有効期限のあるトークン（数字 6 文字とか）を生成して登録したメールアドレスに送ってくるので、それを以下のような確認画面に入力するという形になるのが普通だと思います。（赤枠部分は検証用に追加したもので実際の画面にはありません。ユーザーにはメールまたは SMS で送信されてきます）

あるサイトのログイン用の ID にメールアドレスを使う場合でも、Password はメールアカウントのものとは別のものを使うと思うのですが、同じ Password を使っているユーザーがいるかもしれないので、その場合漏洩するとメールボックスまで覗かれることを心配しているのですか？

コメントありがとうございます！

「2段階認証用のパスワード」というのは何を言ってますか？

2段階認証用のパスワードは第2要素のパスワードのことを指しています。

そのパスワードは一般的に「ランダムでかつ有効期限のある文字列」だと理解しているのですが、システムによっては「ユーザー側が自分自身で設定している文字列」といった状況もあるのかと思いそのように記述いたしました。

あるサイトのログイン用の ID にメールアドレスを使う場合でも
Password はメールアカウントのものとは別のものを使うと思うのですが
同じ Password を使っているユーザーがいるかもしれないので、
その場合漏洩するとメールボックスまで覗かれることを心配しているのですか？

はい、そのご認識の通りです。説明不足で申し訳ございません。

上記につきましてはシステム側で考慮できる範疇を超えた部分かとは存じますが、その可能性まで考慮するなら「2段階認証用のログイン情報には同じメールアドレスを設定することができない」または「2段階認証用のログイン情報にはメール以外（電話番号等）を設定する」といったルールを作らなければならないような気がした次第です。汲み取っていただきありがとうございます。

評価方法によって基準が変わるんですね。仮に「二段階認証」を「多要素認証」の一例として考えた場合で、システム側から「ワンタイムパスワード」が乱数で発行されるとしても「記憶情報」になるのでしょうか？

通常ログインの「メールアドレス＋パスワード」はユーザー自身のプロフィール内に存在しているとすれば記憶情報ですが、2段階認証用の「メールアドレス＋パスワード」はパスワードのみシステム側から（ユーザーが通常ログインした直後に）送るという意味でお伝えしています。2段階認証用パスワードはシステム側が乱数で送るなら「どこにも記憶されていない情報」かと思っていましたが認識が間違っていれば教えていただけますと幸いです。

なお、私は仮定で質問しており、評価方法には触れていませんがどの箇所が評価方法に該当しているのかも可能な範囲で補足をいただければ助かります。

評価方法によって基準が変わるんですね。仮に「二段階認証」を「多要素認証」の一例として考えた場合で、システム側から「ワンタイムパスワード」が乱数で発行されるとしても「記憶情報」になるのでしょうか？

はい。知識情報という訳の方が分かりやすいかもしれません。英語だと「Something you know」で検証するのでこのカテゴリーに当てはまります。

私は仮定で質問しており、評価方法には触れていませんがどの箇所が評価方法に該当しているのかも可能な範囲で補足をいただければ助かります。

「二段階認証」という言葉が「多要素認証」としての側面を評価し、「自分でやったこと」が「攻撃の発生可能性と受容可能性」の検討をおこなっており、その延長線がリスク分析の評価にあたります。

評価基準や方法に関しては「Digital Identity Guidelines」あたりが参考になるかと思います。
体系的な記述になっているので、一度読んでみてください。
また、日本語の解説記事もあるので探してみると良いです。

記事に目を通してみますね。

システム側から「ワンタイムパスワードが乱数で発行される」としてもそれは記憶情報（知識情報）になるとのことですが、その流れではワンタイムパスワードはユーザーに知り得ない情報かと存じます。これらが記憶情報に該当するというのはどういった解釈か教えていただけますでしょうか？これらの内容が記事のどこかに記載されているならその箇所を示してもらえれば助かります。

システム側から「ワンタイムパスワードが乱数で発行される」としてもそれは記憶情報（知識情報）になるとのことですが、その流れではワンタイムパスワードはユーザーに知り得ない情報かと存じます

知らされているので「知っている情報」です。

断片的な情報をつまみ食いしても時間の無駄ですよ。体系的な学びが無ければ話が通じないので関わった皆が不幸になります。

頭ごなしに否定から入るのはお人柄でしょうか？

あなたの、謎に上からコメントに返信しているだけでも感謝してくださいよ。

毎度、明後日の方向に話が進んでいるじゃないですか。癖なのかな？
的確な回答ができないから勝手に論点をずらしているように見えます。

エンジニア界隈ではよく見かけるあるあるですね。

少なくともあなた以外のコメントは2段階認証を知らない人にはとても有益。

知識情報の解説ではなく小さな知識マウント、ご苦労様。

イイネは自分で押すものじゃないですよΣd(ゝ∀・).

具体的な実例をありがとうございます！開発環境によっても変わってくるんですね。（こちらは参考までとなりますがLAMP環境での開発を想定しております）

第 2 要素がメールでも SMS でも
ID とPassword だけよりはるかにセキュリティは高いはず

どうあれ「第2要素があるだけ」でセキュリティ面は強化されると聞き安心いたしました。ちなみに第2要素のパスワードは種類によってセキュリティは強くなるのでしょうか？

１. ユーザー自身が設定した通常ログイン用とは異なるパスワード
２. システム側が（ユーザーの通常ログイン時に）都度乱数発行するパスワード

ユーザー側が「通常ログイン用と2段階認証用の連絡先を自分自身で設定」している場合では上記のパスワードが「１」や「２」であったとしてもそれほど差はないものですか？？

前提条件を少し変えるだけで範囲も大きく変わってくる点が悩ましいです。

ちなみに第2要素のパスワードは種類によってセキュリティは強くなるのでしょうか？

@jinbei230525 さんの回答の下のコメント欄にも書きましたが・・・

「第2要素のパスワード」というのは何を言ってますか？

2FA の第 2 要素がメールの場合、サーバー側ではランダムでかつ有効期限のあるトークン（数字 6 文字とか）を生成して登録したメールアドレスに送ってくるので、それを以下のような確認画面に入力するという形になるのが普通だと思います。（赤枠部分は検証用に追加したもので実際の画面にはありません。ユーザーにはメールまたは SMS で送信されてきます）

あるサイトのログイン用の ID にメールアドレスを使う場合でも、Password はメールアカウントのものとは別のものを使うと思うのですが、同じ Password を使っているユーザーがいるかもしれないので、その場合漏洩するとメールボックスまで覗かれることを心配しているのですか？

再度コメントありがとうございます！以下同じものになりますが記載させていただきますね。

「2段階認証用のパスワード」というのは何を言ってますか？

2段階認証用のパスワードは第2要素のパスワードのことを指しています。

そのパスワードは一般的に「ランダムでかつ有効期限のある文字列」だと理解しているのですが、システムによっては「ユーザー側が自分自身で設定している文字列」といった状況もあるのかと思いそのように記述いたしました。

あるサイトのログイン用の ID にメールアドレスを使う場合でも
Password はメールアカウントのものとは別のものを使うと思うのですが
同じ Password を使っているユーザーがいるかもしれないので、
その場合漏洩するとメールボックスまで覗かれることを心配しているのですか？

はい、そのご認識の通りです。説明不足で申し訳ございません。

上記につきましてはシステム側で考慮できる範疇を超えた部分かとは存じますが、その可能性まで考慮するなら「2段階認証用のログイン情報には同じメールアドレスを設定することができない」または「2段階認証用のログイン情報にはメール以外（電話番号等）を設定する」といったルールを作らなければならないような気がした次第です。汲み取っていただきありがとうございます。

「2段階認証用のログイン情報には同じメールアドレスを設定することができない」

メールアドレスを 2 つも登録してくれるユーザーがいるとは思えないし、実装も大変です。少なくとも現実的とは思えないですが・・・

または「2段階認証用のログイン情報にはメール以外（電話番号等）を設定する」

SMS はセキュリティの問題で非推奨です。

私の回答で述べた TOTP (Time-based One Time Password) を使う方が現実的だと思います。

メールアドレスを 2 つも登録してくれるユーザーがいるとは思えない

おっしゃる通りでユーザー側が2段階認証を使うハードルが上がってしまいますよね。そこを加味すると2段階認証用のメールアドレスは通常ログイン用をそのまま使ってかつシステム側からワンタイムパスワードを発行するのが無難かもしれません。SMSがセキュリティ問題で非推奨とのことであれば、通常ログイン用で登録されているメールアドレスを「2段階認証時にワンタイムパスワードを通知するメールアドレスとして流用する方がまだ良い」ということですよね。

ちなみに「TOTP (Time-based One Time Password) 」というのはシステム側から「ランダムでかつ有効期限のある文字列を発行」すればOKなのでしょうか？

その際に上記に書いた「2段階認証用のメールアドレスは通常ログイン用のメールアドレスをそのまま使う」としても2段階認証時に「メールアドレス」を使っていることに変わりはないかと思うのですが、その点はいかがでしょうか？

(3) SMS / Email

TOTPはメールも電話番号も使わずにワンタイムパスを発行する技術ですか？

TOTP については先の回答で参考になる記事を紹介しました。聞く前にそれを読んでほしいのですが。

要点のみ書いておくと、Authenticator はスタンドアロンで動いています。Web アプリ他どことも通信していませんが共有した秘密キーとスマートフォンの内部時刻でパスワードは計算できます。

Authenticator はスタンドアロンで動いています

スタンドアロンで動く仕組みであればメールアドレスは不要ですね。

ざっくりと言えば大手オンラインバンクのシステムに導入されているワンタイムパスワードが「TOTP」ということかと存じます。私がさきほど申した「メールアドレス宛にシステム側で生成したワンタイムパスワードを送る方法」と、@SurferOnWwwさんがおすすめしている「TOTPで生成されたワンタイムパスワード」の根本的な違いは、後者はメールを送らずとも、その場で認証（2段階目の認証として）を完結できるという点が優れているということですよね？

指定のメールアドレスにメールを送る、指定の電話番号にSMSを送る、という行為自体が通信の時点で盗聴される可能性がある（リスクが高い）のはおおむね理解できました。お忙しいなか的確なアドバイスに感謝申し上げます。

多要素認証(MFA)モジュールの導入

こちら私の方でも調べてみますね！

2段階認証の仕様を考えた場合に「どこまでの範囲をカバーするのか」という点が重要になりますよね。仮に第2要素が「電話番号+ワンタイムパスワード」だとしても「メール+ワンタイムパスワード」だとしても（システム側の脆弱性が存在していた等で）第2要素の電話番号やメールアドレス自体を書き換えられてしまうとそもそも2段階認証の意味をなさないかと存じます。

そういった意味ではさきほど@SurferOnWwwさんがおっしゃっていた下記の「１」または「２」ならその問題点をクリアできるのかもしれません。

多要素認証（MFA）というのはそういった部分も解決できますでしょうか？

(1) TOTP (Time-based One Time Password)
(2) パスキー / FIDO2
(3) SMS / Email

わかる範囲で教えていただけますと幸いです。

おそらく何か誤解していると思いますので複数の認証を組み合わせましょうというのが多要素認証です。2種類や2段に限定しません。
比較的簡単にやるならGoogle、Amazon、MisrosoftのM365などのID連携をすることで
その先の先進企業が推奨する多要素認証に任せるということです。

お金がなくてでもやりたいなら以下やつで狙うイメージにはなるかと思います。
https://majisemi.com/topics/tool/2660/

ただMFAを採用したとしてもセッションハイジャック(フィッシング詐欺みたいなもの)は解決できません。

2段階認証について質問しているのでその前提で解釈していました。

多要素認証とおっしゃられているのはGoogle Authenticator等のことですか？

多要素認証とおっしゃられているのはGoogle Authenticator等のことですか？

違いますよ

@SurferOnWwwさん、補足ありがとうございます。

2段階認証ではなく論点がズレそうなので参考程度にさせていただきますね。

「段階」と「要素」は違うということは認識してますか？ 以下の記事を読んでみると良いかも

本当に安全？　「二段階認証」のハナシ
https://www.itmedia.co.jp/news/articles/1810/26/news008.html

「認証の回数が多いほど安全」は間違い？　二要素認証のハナシ
https://www.itmedia.co.jp/news/articles/1811/16/news016.html

記事のご紹介、ありがとうございます！

おかげさまで見えづらかった色々な部分がクリアになり解決できそうです。

長々とお時間を頂戴し、すみませんでした。

あらためて心より感謝申し上げます。