定義
知識、所持、生体のうち異なる二種類を組み合わせます。パスワードと登録済み認証アプリのコードが一例です。パスワードを二つ使っても同じ分類なので、画面や質問を増やすだけでは二要素認証とは限りません。
仕組み
最初の要素を確認した後、サービスが時限コード、物理セキュリティキーなどで次を検証します。一つの端末で所持と PIN・生体認証を組み合わせる方式もあります。暗号資産サービスではログインや出金時に求めることがありますが、サービスのアカウントを守るもので、別の秘密鍵のルールは変えません。
注意点
コードはリアルタイムのフィッシング、電話番号方式は SIM スワップで奪われる場合があります。正しく実装されたサイト識別に結び付くセキュリティキーは、より強い耐フィッシング性を持ちます。復旧コードを保護し、復旧手順を確認し、紛失した認証器は正規の経路で解除します。2FA は侵害済みセッションや悪意ある取引を取り消さず、流出したシードで直接管理される資産も守れません。