暗号技術・PKI・認証基盤重要度:★★★出題: AM2・PM1

多要素認証 (MFA) と TOTP / Kerberos認証

たようそにんしょう / てぃーおーてぃーぴー / けるべろすにんしょう / Multi-Factor Authentication / Time-based One-Time Password / Kerberos

知識・所持・生体の3要素のうち異なる2要素以上を組み合わせる多要素認証（MFA）と、時刻同期ワンタイムパスワード・社内チケット認証の仕組み。

3行速習ポイント

認証の3要素：①知識情報（パスワード・PIN）、②所持情報（スマホアプリ・ICカード・トークン）、③生体情報（指紋・顔・静脈）
TOTP（RFC 6238）：サーバと認証アプリ間で事前共有したシード（秘密鍵）と現在時刻（30秒単位等）からHMAC演算で6桁コードを生成
Kerberos認証：Active Directory等で用いられ、KDC（AS/TGS）が発行するTGT（チケット認可チケット）とサービスチケットでSSOを実現

図多要素認証 (MFA) の3要素原則と TOTP / Kerberos 認証機構

MFAの基本原則

認証の3要素の厳格な組み合わせ

①知識情報 × ②所持情報 × ③生体情報から2種以上を選択

パスワード（知識）＋認証アプリ/ICカード（所持）＋指紋・顔（生体）のように異なる属性を組み合わせ、パスワードリスト攻撃を無効化

↕

ワンタイム認証

TOTP（時刻同期ワンタイムパスワード）とシード保護

共有シード（秘密鍵）と現在時刻（30秒窓）からHMAC生成

初期登録時のQRコード（シード値）が漏洩すると複製されるため厳重に保護し、プッシュ通知連打（MFA疲労攻撃）にはナンバーマッチングで対策

↕

社内ドメイン認証

Kerberos認証（Active Directory SSO基盤）

KDCが発行するTGT（チケット認可チケット）とサービスチケット

パスワード自体をネットワークに流さず共通鍵暗号チケットで社内SSOを実現。Golden Ticket攻撃を防ぐためkrbtgtアカウントと特権IDを厳重保護

💡 「パスワード＋秘密の質問」は知識＋知識の1要素（2段階認証）でありMFAではない。異なる2種類以上の要素（知識・所持・生体）の組合せが必須

パスワードと秘密の質問の組み合わせは「知識＋知識」であり2段階認証ではあっても多要素認証（MFA）ではありません。パスワードリスト攻撃やフィッシングによるアカウント乗っ取りを防ぐには、必ず異なる要素（知識＋所持など）を組み合わせる必要があります。

TOTPのシード保護：初期設定時のQRコード（共有シード値）が漏洩すると攻撃者も全く同じワンタイムパスワードを生成可能になるため厳重管理が必要
MFA疲労攻撃（Push Bombing）：承認プッシュ通知を連続送信して誤承認させる手口には、画面の数字を入力させるナンバーマッチングで対策
KerberosのPass-the-Ticket / Golden Ticket攻撃：krbtgtアカウントのハッシュが奪われると任意の偽造TGTが作成可能になるため特権保護が不可欠