多要素認証とは

本人であることを、種類の違う2つ以上のもので確かめる方法です。

• 知っているもの … パスワード
• 持っているもの … スマホの認証アプリ
• 本人そのもの … 指紋・顔

認証アプリは、30秒ごとに変わる6桁のコードを表示します。サーバーとアプリが同じ秘密の値と今の時刻から同じコードを計算するので、通信しなくても一致します。この方式を TOTP と呼びます。

naminori の二段階認証（2026-10-19）

naminori の会員は、設定画面から二段階認証を使えるようにできます。設計で決めたことは次のとおりです。

認証アプリの秘密の値は、データベースの中でも暗号化して保存しています。

後から困ること① ログイン画面以外の入口から迂回される

二段階認証をログイン画面にだけ足すと、穴が残ります。パスワード再設定のリンクやメールアドレス確認のリンクを開くと、そのままログインする作りが多いからです。メールを乗っ取られたら、コード無しで入られます。

naminori では二段階認証を入れたときに、二段階認証を使っている会員は、この2つのリンクからはログインさせず、コードの入力に進ませるようにしました。ログインできる入口を全部数えてから足す必要があります。第1回の「主体 × 入口」の表が、ここで効きます。

後から困ること② 復旧を決めずに出す

スマホの買い替え・故障・紛失は、必ず起きます。復旧手段を決めずに出すと、本人なのに入れない人が問い合わせに並びます。バックアップコードを最初に配り、それも失くしたときの手順まで決めてから出します。

後から困ること③ 解除の手続きが一番弱い入口になる

「スマホを失くしました」と言えば解除してもらえるなら、攻撃者もそう言います。管理者による解除は、本人確認の手順を決めてから行い、解除したら本人に知らせます。本人が知らない解除に、本人が気づけるようにするためです。

• 多要素認証と認証アプリ（TOTP）の仕組み
• naminori の二段階認証で決めたこと
• ログイン画面以外の入口から迂回される
• 復旧と解除の手続きを先に決める