ネットワークも認証サーバも要らない「多要素認証」、Windows端末でどう実現？：一般的なMFAと何が違う？

不正アクセスや認証情報の窃取による被害を防ぐために、IDとパスワードだけに頼らない対策の一つになるのが「多要素認証」（MFA）だ。ネットワークに接続しない環境でも利用できる多要素認証の仕組みをソフト技研が発表した。

[＠IT]

　IDやパスワードなどの認証情報を狙ったサイバー攻撃が相次ぐ中で、対策の一つとなるのが「多要素認証」（MFA）だ。だが、インターネットへの接続が制限された環境などでは、一般的な多要素認証の仕組みを利用できないケースもある。

　そうした中、認証セキュリティ製品などを手掛けるソフト技研は2026年9月2日、インターネット接続や認証サーバを必要とせず、「Windows」搭載の端末単体でMFAを実現できる仕組みを提供開始したことを発表した。

インターネットも認証サーバも不要、どう認証する？

　多要素認証にはクラウド型の認証サービスを利用する方法もあるが、インターネットに接続しない閉域網の環境では利用できない。そうした利用環境にあるWindows端末でも多要素認証を利用できる仕組みとは、どのようなものなのか。

　ソフト技研によると、製造ラインや工場、医療機関、官公庁・自治体、金融機関、電力・インフラなどでは、セキュリティポリシーや運用上の理由から、インターネットに接続しない環境でWindows端末を利用するケースがある。

　こうした環境での利用を想定してソフト技研が提供を開始したのが「YubiOn FIDO Logon Standalone」だ。端末にインストールしたソフトウェアと、公開鍵暗号方式を使って認証する規格「FIDO2」（Fast Identity Online 2）に準拠したセキュリティキーを組み合わせることで、Windowsへのログオンを二要素認証にする。

タッチするだけの簡単な操作で安全にログオン（提供：ソフト技研）

　特徴は、外部の認証サーバと通信してユーザーを認証するのではなく、Windows端末単体で認証を完結させる点だ。ネットワーク接続を必要としないため、インターネットに接続できない環境でも利用できる。

　認証には「YubiKey」などのFIDO2対応セキュリティキーを利用する。「iShield Key」「ATKey」などFIDO2規格に準拠した複数メーカーのセキュリティキーから選べる。

　対応するアカウントは、Windowsのローカルアカウントの他、「Active Directory」「Microsoft Entra ID」「Microsoftアカウント」。リモートデスクトップ接続経由のログオンにも対応する。

　ハードウェア認証器とPIN／生体によるユーザー検証を組み合わせることで、米国国立標準技術研究所（NIST）の「SP 800-63B」が定める認証保証レベルのうち、最高位に当たる「AAL3」（Authenticator Assurance Level 3）の要件に適合する構成で運用できるという。

YubiOn FIDO Logon Standaloneと一般的なサーバ型の多要素認証との違い（提供：ソフト技研）

セキュリティキーを紛失したらどうする？　運用面の機能は

　運用面では、認証器を取り外すと自動的にWindowsの画面をロックし、離席時の不正操作を防止。設定ツールの起動には管理者のFIDO認証を要求し、管理者以外のアクセスを防ぐ。コントロールパネルなどからの製品の非表示化や保護機能により、意図しないアンインストールも防止する。

　YubiOn FIDO Logon Standaloneは、セキュリティキーを紛失したり故障したりした場合に備え、緊急用の「リカバリコード」を発行できる。管理者が任意のアカウントにログオンできる「マスターキー機能」も備える。

　1人のユーザーに複数の認証デバイスを登録したり、1台の端末を複数のユーザーで利用したりすることも可能だ。

　動作環境は、1GHz以上の64bitプロセッサ、4GB以上のメモリ、200MB以上の空きストレージ、.NET Framework 4.7.2以上。ネットワーク接続は不要で、完全にオフラインで動作する。対応OSは「Windows 10」（20H2以降）と「Windows 11」で、サーバ用OSは「Windows Server 2022」以降だ。

　ライセンスは買い切り型で、月額や年額のサブスクリプション費用は発生しない。価格はPC用が3年ライセンスで3万1000円から、サーバ用が3年ライセンスで12万4000円からとなっている。