ほとんどの2FA実装では、知識要素が1つ目の認証要素として機能します。知識要素とは、理論的にはユーザーだけが知っている情報です。パスワードは最も一般的な知識要素です。他には、暗証番号（PIN）やセキュリティー質問に対する回答も一般的です。

知識要素は一般に広く使用されているにもかかわらず、特にパスワードは認証要素としては最も脆弱なタイプです。ハッカーは、フィッシング攻撃や、ユーザーのデバイスにマルウェアをインストールすること、またはチャットボットを使用してパスワードの候補を生成し、1つのパスワードが機能するまでテストするブルートフォース攻撃を仕掛けたりすることで、パスワードやその他の知識要素を手に入れることができます。

他のタイプの知識要素には、それほど難しいものはありません。「母親の旧姓は何ですか」というような古典的な質問のように、多くのセキュリティー質問に対する答えは、基本的な調査をしたり、ユーザーを騙して個人情報を漏らすソーシャル・エンジニアリング攻撃を行うことで簡単に見抜くことができます。

パスワードとセキュリティーの質問を要求する一般的な方法は、同じ種類の2つの要素（この場合は2つの知識要素）を使用するため、真の2FAとは言えないというのは注目に値します。むしろ、これは2段階認証プロセスの一例です。

2段階認証は、2つの要素を必要とするため、パスワードのみの場合よりも安全です。それでも、これら2つの要素は同じ種類であるため、真の2FA要素よりも盗むのが簡単です。

所有要素とは、個人が所有しているもので、その人自身を認証するために使用できます。最も一般的な種類の所有要素は、ソフトウェア・トークンとハードウェア・トークンの2つです。

ソフトウェア・トークンは、多くの場合、ワンタイム・パスワード（OTP）の形式をとります。OTPは4～8桁の1回限りのパスコードで、一定時間が経過すると有効期限が切れます。ソフトウェア・トークンは、テキスト・メッセージ（またはEメールや音声メッセージ）でユーザーの携帯電話に送信されたり、デバイスにインストールされている認証アプリによって生成されたりします。

どちらの場合も、ユーザーのデバイスは基本的に所有要素として機能します。2FAシステムは、正当なユーザーのみが、そのデバイスと共有される情報またはそのデバイスによって生成される情報にアクセスできることを前提としています。

SMSベースのOTP は、最も使いやすい反面、最も安全性が低い所有要素です。ユーザーがこれらのコードを受信するにはインターネットや携帯電話への接続が必要であり、ハッカーは巧妙なフィッシング攻撃や中間者攻撃によってコードを盗むことができます。また、OTPは犯罪者が被害者のスマートフォンのSIMカードの機能的複製を作成し、それを使ってテキスト・メッセージを傍受するSIMクローニングに対しても脆弱です。

認証アプリは、ネットワーク接続なしでトークンを生成できます。ユーザーがアプリと自分のアカウントをペアリングすると、アプリはアルゴリズムを使用して時間ベースのワンタイム・パスワード（TOTP）を継続的に生成します。各TOTPは30～60秒で期限切れになるため、盗むのは困難です。一部の認証アプリは、TOTPではなくプッシュ通知を使用します。ユーザーがアカウントにログインしようとすると、アプリはプッシュ通知を携帯電話に送信します。ユーザーはそれをタップして、試行が正当なものであることを確認する必要があります。

最も一般的な認証アプリには、Google Authenticator、Authy、Microsoft Authenticator、LastPass Authenticator、Duo などがあります。これらのアプリは、テキスト・メッセージよりも見破るのが困難ですが、絶対確実というわけではありません。ハッカーは、特殊なマルウェアを使用して、オーセンティケーターから直接TOTPを盗んだり¹、被害者が誤って認証することを期待して、不正なプッシュ通知をデバイスに大量に送信する多要素認証疲労攻撃を仕掛けたりします。

ハードウェア・トークンは、セキュリティー・キーとして機能する専用デバイス（キー・フォブ、IDカード、ドングル）のことです。ハードウェア・トークンの中には、コンピューターのUSBポートに差し込み、認証情報をログイン・ページに送信するものもあれば、プロンプトが表示されたときにユーザーが手動で入力する認証コードを生成するものもあります。

ハードウェア・トークンはハッキングが非常に困難ですが、ソフトウェア・トークンを含むユーザーのモバイル・デバイスと同様に、盗まれる可能性があります。実際、IBM のデータ侵害のコストに関する調査によると、デバイスの紛失や盗難がデータ侵害の要因の6％も占めています。

「生体認証」とも呼ばれる固有の要素は、指紋、顔の特徴、網膜パターンなど、ユーザーに固有の身体的特徴または特性です。現在製造されている多くのスマートフォンやノートPCには顔や指紋の読み取り装置が内蔵されており、多くのアプリやWebサイトはこの生体認証データを認証要素として使用できます。

固有の要素を見破るのは最も困難ですが、見破られると悲惨な結果になる可能性があります。2019年に、100万人のユーザーの指紋を含む生体認証データベースが侵害されました。 ²理論的には、ハッカーはこれらの指紋を盗んだり、自分の指紋をデータベース内の別のユーザーのプロファイルにリンクさせたりすることが可能です。

さらに、AI画像生成の進歩により、サイバーセキュリティーの専門家たちは、ハッカーがこれらのツールを使って顔認識ソフトを欺くのではないかと懸念しています。

生体認証データが侵害された場合、迅速かつ簡単に変更することができないため、進行中の攻撃を阻止することが困難になります。

行動要素は、行動パターンに基づいてユーザーの身元を確認するデジタル・アーティファクトです。例えば、ユーザーの典型的なIPアドレス範囲、いつもの場所、平均的なタイピング速度などがあります。

行動認証システムは、人工知能を使用してユーザーの通常のパターンのベースラインを決定し、新しいデバイス、電話番号、または場所からのログインなどの異常なアクティビティーにフラグを立てます。2FAシステムの中には、ユーザーが信頼できるデバイスを認証要素として登録できるようにすることで、行動要素を活用するものもあります。ユーザーは最初のログイン時に2つの要素を指定する必要があるかもしれませんが、信頼できるデバイスの使用は、将来自動的に2つ目の要素として自動的に機能するでしょう。

行動要素は、リスク・レベルに基づいて認証要件を変更する適応型認証システムでも有効です。例えば、ユーザーは社内ネットワーク上の信頼できるデバイスからアプリにログインする際はパスワードだけで済むかもしれないが、新しいデバイスや未知のネットワークからログインする際には2つ目の要素を追加する必要があるかもしれません。

行動要素はエンド・ユーザーを認証するための高度な方法を提供しますが、導入するには多大なリソースと専門知識が必要です。さらに、ハッカーが信頼できるデバイスにアクセスした場合、ユーザーになりすますことができます。