SalesforceのMFA必須化に伴い、FIDO2を使った多要素認証の仕組みについて調べてみた

こんにちは、エンジニアのN.Kです。
Salesforceでは今年2026年6月下旬よりSandbox環境にて、7月より本番環境にて順次、MFAの必須化が導入されるようになりました。

私の周囲でも静かに盛り上がったり、てんやわんやになったり。
しかし、そもそもフィッシング耐性に強いMFAとは何ぞや？と思いましたので、自分が学んだことについてつらつらと書き記してみようと思います。

ご存じの方も多いかと思いますが、改めて。
まずフィッシングサイトというものがあり、これは実在の業者、金融機関を装った偽サイトになります。
画面の表示が本物のサイトと全く同じになっていることが多く、一見しただけでは本物と見間違う可能性があります…。
ですが、ドメイン部分だけが違っていたり。
そこで、本物のサイトで使用するID、パスワードやクレジットカード情報などを入れてしまうと、それらの情報が盗み取られてしまう、ということになります。

フィッシング詐欺とは、こうしたフィッシングサイトを利用してこれらの情報を盗み取る、といったものになりますが、ここ最近ではSalesforce Authenticatorなどによるワンタイムパスワード（OTP）を用いたMFAでも不十分とされてきています。
ID、パスワードと合わせ、入力されたOTP情報まで盗み取って素早くログイン、セッションを作成するといった仕組みができているから…とのこと。

最悪のパターンとしてシステム管理者アカウントが乗っ取られた場合、しばらくの間あらゆる情報が抜き放題になってしまいます。
これはセキュリティインシデントとしては重大で、未然に予防することが必要だということがお分かりいただけるかと思います。

そこで、フィッシング耐性に強いMFAとして、FIDO2（ファイドツー）規格に則った、MFAの導入が急がれているのです。

FIDO2とは、FIDO Allianceという団体によって策定された、ウェブサイトなどにログインするための世界標準規格です。
これはパスワード認証が抱えていた
・覚えたり記録するのが大変
・使いまわしは危険
・フィッシング詐欺に弱い
といった問題に対し、パスワードに頼らずにより安全、より簡単に解決できる方法になります。

FIDO2は、「公開鍵暗号」という仕組みを使っており、サーバー側で「公開鍵」、手持ちの端末側で「秘密鍵」を持っており、それをやり取りを行います。

ざっくりと仕組みを説明しますと、

①ユーザーがログインを試行する。

②サーバー側が、そのログイン先のユーザの公開鍵に合う秘密鍵を持っているか署名テストをする。
　⇒このテストは毎回内容が異なり、ドメイン名も必ず記載される。

③ユーザー側が生体認証などで本人確認をすると、端末の秘密鍵で送られたテストに署名する。
　⇒この時、正しいドメインかどうかをシステムが判断しているので、フィッシングサイトは除外！

④サーバー側の公開鍵で照合して、正しい端末からのログインと認め、許可する。

といったものになります。

パスワードではなく、認証をその瞬間限定の使い捨てにしているので、仮にこのログイン情報を盗まれたとしても、「それは前のログインの時に使ったデータだから無効ですよ」と弾かれてしまう。
これにより、リプレイアタック防止につながります。

SalesforceにおけるFIDO2規格に則った認証は2パターンあります。
組み込みMFAとセキュリティキーです。

組み込みMFAは、Window Hello、MacのTouch IDといった各端末の顔認証や指紋認証などが挙げられます。
これらは、使用している端末で完結しているため、導入が非常に手軽で低コストです。
ログインも素早く終わり、ほかの認証用の機材を必要としないので、鍵がないから仕事ができない！といったこともありません。
ただし、認証情報が端末に依存している都合上、「そのデバイス」からしかログインできなくなります。
これは、端末が壊れた、交換することになったといった際にログインできなくなりますので、その際のリカバリに手間がかかってしまうリスクがあります。

セキュリティキーは、USB型などの外付けの鍵（例：YubiKey等の物理キー）を用いる方法です。
これは、キーさえ持っていればどの端末からでもログインができるため、複数端末を使用するような場合に適しているといえます。
ただし、こうしたセキュリティキーを用意する必要があるため、費用がかさむ恐れがあります。
（もちろん人数分なので、それなりのコストになります…）
また、こうした外付けの鍵を使用する都合上、紛失のリスクなども否めません。

それぞれのメリット・デメリットをまとめると以下のようになります。

それぞれコスト以外でもメリット、デメリットが明確になっているので、運用方法や業務内容をイメージしつつお客様に適切なご提案ができるとよいかと思います。

また、それぞれのトラブルが発生した際の対応方法についてもあらかじめ用意しておくと安心です！

今回のFIDO2を使った多要素認証の仕組み、いかがでしたでしょうか。
サイバー犯罪も日夜手を変え品を変え、新しい防御策を導入すればその隙をつくような手口を編み出してきます。
まさに終わりのないイタチごっこです。

最近ではAIの発達に伴い、以前までは日本語がおかしな詐欺メールなども、より完璧で自然なビジネス日本語の文章になったりしているようです。
こうなると、怪しいメールのURLはクリックしないように、といった注意喚起をしたとしても、いよいよ人間が100%見破るのは不可能な時代になってきているといえるでしょう。

だからこそ、人間の注意力に依存しない今回のような「ゼロトラスト」の考えが重要になっています。
日々新しい脅威が出るたびに不安になることは多々ありますが、お客様のニーズに合った、安心して利用できるセキュリティ環境を構築していきましょう！