セキュリティ編 第3章 / 全13章
パスワードと多要素認証とは
Password ・ MFA ・ パスキー
鍵を強く、鍵を2つに銀行のATM。キャッシュカード（持っているもの）と暗証番号（知っているもの）の2つがそろわないと、お金は引き出せない。
図とさわれるデモで確かめる →
ポイント
- パスワードは長さがいちばん効く。短いパスワードは一瞬で当てられる
- 使い回しは厳禁。1か所から漏れると、他のサービスも次々に乗っ取られる
- 「知っている・持っている・本人そのもの」のうち2つを組み合わせる多要素認証が決め手
名前の由来
multiたくさんのfactor要素authentication本人確認
MFA：本人確認に、2つ以上の種類の要素を組み合わせること。
仕事の現場では
まず会社のメールとクラウドサービスのすべてで、多要素認証を「全員に必須」にしましょう。パスワードを覚えきれない問題は、パスワードマネージャーや、パスワードを使わないパスキーで解決できます。
くわしく（正確な話）
- すべての組み合わせを順に試すのが総当たり攻撃。文字の種類と長さで、組み合わせの数がけた違いに増える。
- SMSの確認コードより、認証アプリや物理キー、パスキーの方が安全。
- パスキーは、端末の中の秘密鍵と、指紋や顔の確認で本人確認する仕組み。偽サイトでは使えないので、フィッシングに強い。
- 定期的なパスワード変更より、「長く・使い回さず・漏れたら変える」が今の考え方。
うまれ：パスキーは、FIDOアライアンスの規格にもとづき、2022年に Apple・Google・Microsoft がそろって対応を表明した。
この章の用語（意味と語源）
- 多要素認証（MFA） Multi-Factor Authentication
パスワードに加えて、スマホの確認など別の種類の手段も使う本人確認。
「知っているもの（パスワード）」「持っているもの（スマホ・物理キー）」「本人そのもの（指紋・顔）」のうち2つ以上を組み合わせます。
覚えておく：知っている / 持っている / 本人そのもの
語源multi（たくさんの）+ factor（要素。ラテン語 facere「作る」から）+ authentication（本人確認）。
- 総当たり攻撃 Brute-force Attack
パスワードの組み合わせを、すべて順に試す攻撃。
短いパスワードや、数字だけのパスワードは、あっという間に当てられます。
語源英語では brute force（力ずく）。brute はラテン語 brutus（鈍い・獣のような）から。
- パスキー Passkey
パスワードの代わりに、端末の中の鍵と指紋・顔の確認でログインする仕組み。
偽サイトでは使えないので、フィッシングにとても強いのが特長です。
語源pass（通る）+ key（鍵）。
- パスワードマネージャー Password Manager
長く複雑なパスワードを作って、安全に覚えておいてくれるソフト。
語源password（合言葉）+ manager（管理するもの）。