本日の一品

Googleアカウントのセキュリティを最大限に高めるUSBキー「FIDO U2F SECURITY KEY」

 Googleがセキュリティ向上の新たな仕組みとして10月21日に発表したのが、USBセキュリティキーを用いた2段階認証。そのセキュリティキー「FIDO U2F SECURITY KEY」をさっそく入手したので、どんな風に使えるのか紹介してみたい。

セキュリティを高める「FIDO U2F SECURITY KEY」

 この新しい仕組みは、簡単に言えば、パソコンのChromeブラウザ上でGoogleアカウントにログインする際、2段階認証のパスワード入力を省けるようになるもの。必要なのは、WindowsやMacなどの上で動くChromeのバージョン38以降と、パソコンなどのUSBポートに挿入するセキュリティキーの2つだけ。使用できるセキュリティキーはFIDO AllianceのUniversal 2nd Factor(U2F)と呼ばれるプロトコルに対応したものだ。

 Googleのヘルプでは購入先としてAmazon.com(米国)が示されているが、Amazon.comの該当商品は、10月29日時点で日本国内への発送は行っていない。なので、日本への発送もしてくれる「FIDO U2F SECURITY KEY」の直販サイト YUBICO STOREを利用すると良い。本体価格は18ドル、送料はエアメールで5ドルとなり、計23ドル。円換算すると2500円前後で、さほど高額ではない。21日の発表直後に購入し、1週間足らずの27日に手元に届いた。

YUBICO STOREで注文すると、1週間ほどでエアメール(5ドル)で届く

 セキュリティキーはUSB Type Aと呼ばれる、パソコンで一般的な形状のポートに対応するが、接点部分がむき出しの構造で、その分薄く、軽い。USBポートに差し込んでいる間はやや斜めになるし、引っかけると折れそうで少し不安だが、Googleアカウントに2段階認証でログインする時だけ差し込めばよく、常時挿しっぱなしにしておく必要はないので心配は無用だろう。

端子部分はむき出し。カギマークにタッチすることで認証のトリガーとなる
裏面は特に何もない

 使い始めるには、購入したセキュリティキーをGoogleアカウントにひも付けるだけ。ただし、あらかじめGoogleアカウントの通常の2段階認証をオンにしておく必要がある。

最初にGoogleアカウントの設定で2段階認証をオンにしておこう

 通常の2段階認証では、スマートフォンのアプリ上で、60秒ごとに画面に更新表示されるワンタイムパスワードを見て、Webブラウザのログイン画面で手入力する。この仕組みは生かしたままになるが、2段階認証の設定ページに新たに「セキュリティキー」というタブが追加されているので、そこで表示される手順に従ってセキュリティキーをUSBポートに挿し込み、セキュリティキーのカギマークに触れるだけで、ひも付けは完了する。

新たに「セキュリティキー」というタブが追加されている
手に入れたセキュリティキーを挿入してGoogleアカウントとひも付け

 その後はGmailなどのGoogleサービスへのログイン時、2段階認証が求められた際にセキュリティキーをパソコンに挿し込み、カギマークにタッチすればスムーズにログインできるようになる。2段階認証が必要になるのは、一般的には2段階認証を初めてオンにした直後のログインか、およそ1カ月に1回なので、すでに2段階認証をオンにして使っているユーザーは、このセキュリティキーの便利さをすぐに体験することはできないかもしれない。

 手っ取り早く試してみたいなら、自分のGoogleアカウントを使ったことのない別のパソコンでログインしよう。従来であればワンタイムパスワードの入力を促されていた場面で、セキュリティキーの挿入とカギマークのタッチを行うよう指示される。今のところ対応しているのはChromeだけなので、FirefoxやInternet Explorerでは、これまで通りワンタイムパスワードを入力しなければならない。

いつも使っているMacではなく、別のWindows PC上でログインしようとしたところ
セキュリティキーを挿し込んでタッチすれば、すぐにログインできる
他のWebブラウザでアクセスすると通常のワンタイムパスワード入力画面となる

 セキュリティキーを使った2段階認証によって、Googleはセキュリティがさらに高まるとしているが、なぜそうなるのか。ログインの手間が減るだけではないか、と思いがちだが、理由としてはこうだ。

 通常のワンタイムパスワードを用いた2段階認証でも高いセキュリティを実現しているとはいえ、ワンタイムパスワードが更新される60秒の間にそのパスワードが何者かに盗用される可能性はゼロではない。たとえば巧妙なフィッシングサイトを通じてユーザーにワンタイムパスワードを入力させる、といった手口がありえる。

 しかしセキュリティキーを利用している場合、Chromeを使っている限り、ユーザーは必ずセキュリティキーで2段階認証を行うことになる、と自分で分かっている。Chromeなのにワンタイムパスワードを最初に求められたり、セキュリティキーの使用を促されない、そもそもセキュリティキーを使用できないといった場面に出くわせば、明らかにそれがフィッシングサイトと気付けるはず、というわけ。

 セキュリティキー自体は、挿し込んでタッチするだけと使い勝手としては上々で、持ち運びにも苦労せず、有効時間切れを焦りながらワンタイムパスワードを入力することもなくなるので、利便性はかなり高い。Chromeが対応したことで、今後ほかのWebサービスやWebブラウザのセキュリティキーへの対応が進むことも期待できる。いずれパスワードを手入力する時代は終わりを告げることになるかもしれない。

製品名 購入場所 購入価格
FIDO U2F Security key YUBICO STORE 18ドル

(日沼諭史)