「二段階認証」と「二要素認証」の微妙な違いについて

YouTube動画でも話しています。

1. 二段階認証・二要素認証とは？

「二段階認証（2 Step Verification）」と「二要素認証（2 Factor Authentication）」は、どちらもアカウントを守るための安全対策です。

二段階認証・二要素認証

大切な情報を守るために、ログインするときに2つの手順を踏む必要を設けているのです。

例えば、

銀行では、キャッシュカードと暗証番号の2つがないとお金を引き出せません。

インターネット上のアカウントでも同様です。

確認方法はさまざまな方法が考案されています。

電話やメールで送られてくる番号（確認コード）を入力することだったり、
専用のアプリ（認証アプリ）で表示される番号を入力することだったりします。

つまり、パスワードを知っているだけではアカウントにログインできないのです。
悪い人がパスワードを盗んでも、二つ目の手順を踏まないとアカウントを使えません。

「二段階認証」と「二要素認証」は、本来の意味が少し違います。
しかし、私たちが使う時はほとんど同じと考えても構いません。

というのも、私たちが普段「二段階認証」と呼んでいるものは、多くの場合、正確には「二要素認証」のことを指しているからです。

実際にインターネットサービスなどで使われている2段階の認証方法は、ほとんどの場合が二要素認証です。
パスワードに加えて、他の種類の認証、例えば電話やメールで届く番号、専用アプリの番号などを使っています。

オンライン証券の「ログインパスワード」と「取引パスワード」のように、二要素認証ではないものの二段階認証になっている例もあることはあります。

ちなみに

企業による用語の違いも関係しています。

Googleアカウント・Microsoftアカウントでは「二段階認証」、
Apple IDでは「二要素認証」と表記されています。

二要素認証（2FA）と二段階認証（2SV）について、
AuthenticationとVerificationのニュアンスの違いも踏まえてみます。

Authentication vs Verification

Authenticationは、あなたが本人であることを確認するプロセスです。
つまり、あなたがあなたであると証明することに重点を置いています。
一方、Verificationは、提供された情報が真実で正確であることを確認するプロセスです。
情報の正確性の確認により重点を置いていて、本人確認以外でも使われる言葉です。

この違いを踏まえると、二要素認証（2FA）は、あなたが本人であることを証明することに重点を置いていると言えます。
2FAでは、パスワード（あなたが知っている情報）と、もう一つの要素、例えばスマホのアプリで生成される番号（あなたが持っているもの）を組み合わせます。

この2つの要素を確認することで、本人確認を厳密にしているのです。

一方、二段階認証（2SV）は、入力情報の検証により重点を置いていると言えます。
2SVでも、ログインの手順が2つに分かれています。
例えば、パスワードを入力した後に、登録された電話番号に送られてくる確認コードを入力する、といった具合です。

この追加の手順により、ログイン手続きを複雑にしてセキュリティを強化しています。