二要素認証（2FA）でアカウントを保護する

何年も前、友人のメールアカウントがハッキングされ、その友人が海外で身動きが取れず、できるだけ早く現金を送ってほしいという偽メールが届くようになりました。この出来事をきっかけに考えるようになりました。自分のメールにアクセスされるだけで、機密情報にアクセスされる可能性があり、さらにメールを足がかりに他のWebサイトにもアクセスされてしまいます。間接的には、Google以外のアプリケーションやサイトで、そのメールアドレス宛てのパスワードリセットが実行される可能性もあります。また、Googleアカウントをそのアプリケーションへの「パススルー」ログインとして使用しているアプリケーションにもアクセスされるおそれがあります。実に少し怖いことです。

そのとき、私は二要素認証（2FA）を強く意識するようになりました。2FAのセキュリティは2つの要素に基づいています。1つは自分が知っているもの、つまりユーザー名とパスワードです。もう1つは自分が持っているもの、一般的には関連付けられたメールアカウントに送信されるパスコード、関連付けられた携帯電話番号へのSMS、または時間制限付きの認証アプリが設定された端末上のアプリです。

アプリは、アカウントに基づいて入力用のリアルタイムかつ時間制限付きのコードを生成します。この仕組みは、多くの企業が2段階認証で使用している、より商用・業務向けのRSAトークンと非常によく似ています。Googleアカウント、Microsoftアカウント、Paypal、Dropbox、Evernote、Twitter、Redditなど、人気の高いものを含む複数のアカウント、アプリ、Webサイト用のコードを作成できます。

認証アプリは30秒ごとに変わる6桁のコードを作成します。そのため、仮にパスワードが漏えいしても、アカウントを最終的に乗っ取るには、盗もうとする相手があなたのスマートフォンと認証アプリを手に入れる必要があります。キーロガーであっても取得できるのはユーザー名とパスワードまでで、入力した確認コードはその時点から30秒間しか有効でないため、コードまでは取得できません。

認証アプリには、Microsoft版やGoogle版など、さまざまなものがありますが、私が個人的に選んでいるのはAuthyです。他の選択肢と比べて、複数の端末で簡単に利用できることや、古い端末を使わなくなったときに新しい端末へ簡単に移行できることなど、いくつかの利点があるためです。

サイトにログインするたびにコードを入力するのは面倒に聞こえるかもしれません。しかし多くのWebサイトやアプリでは、同じ端末を使う場合、30日間またはそれ以上の期間、確認済みの状態を維持できます。ただし、誰か（自分自身を含む）が新しい端末や新しいWebブラウザからそのサイトにアクセスするたびに、新しい認証コードの入力を求められます。

公共の端末では、複数日保持や端末を記憶するオプションを使わないようにしてください。そうすれば、次に誰かがその端末にログオンし、履歴からあなたのアカウント、ユーザー名、パスワードを見つけたとしても、さらに現在有効な別の確認コードの入力を求められます。その人が入手できないものです。

良い例として、私は複数のデバイスを管理するためにGL.iNet GoodCloudを使っています。もしハッカーが私のGoodCloudのユーザー名とパスワードを入手し、私のデバイスを管理・操作できるようになったらどうなるか想像してみてください。幸い、このサイトは2FAに対応しています。

こちらが最初のログイン画面です。自分が知っているもの、つまりユーザー名とパスワードです。

今度は、自分が持っているものが求められます。GoodCloudアカウントに紐付けられた端末上の認証アプリから取得する2FAコードです。

そして、こちらがその「持っているもの」です。Authy認証アプリ（デスクトップ版）が、30秒間有効なコードを提供してくれます（注：上記のコードは次の15秒間のみ有効です）。なお、私のAuthyアプリは指紋でも保護されています。

入力を間違えたり、30秒の有効期限内に入力できなかったりすると、あなた（またはハッカー）はログインできません。

15秒後にはAuthyのコードが変わります。そのため、初回の入力を間違えた場合や時間切れになった場合は、このコードを入力する必要があります。

正しく入力できれば、GoodCloudに入れます。

覚えておきたいのは、VPNなどを使用してデータの通信を保護することと同じくらい、実際にアカウント、アプリ、その他の情報へのアクセスを保護することも重要であり、場合によってはそれ以上に重要だということです。

メール、SMS、アプリケーションのいずれであっても、何らかの2FAでアカウントを保護できるなら、ぜひ活用してください。その追加の保護レイヤーがデータを守ってくれるかもしれませんし、ハッカーにとってより侵入しやすい次の（保護されていない）アカウントへ移らせるだけでも効果があります。

設定や使用には少し手間が増えるかもしれませんが、私にとっては、その追加の安心感を得るために時間をかける価値は十分にあります。