画像：ユビコ
Google は現在、携帯電話を物理的なセキュリティ キーとほぼ同等のものとして使用するという、2 要素認証を有効にする新しい方法を導入しています。
2 要素認証についてはすでにご存知でしょう。通常、Gmail などの Web ベースのアプリケーションを保護するには、パスワードを入力するだけでなく、携帯電話に送信される SMS コードや、上記のリンクにリストされているような認証アプリによって提供されるコードなど、2 番目の認証手段も提供します。
あまり注目されていない代替の2FA方式があります。YubiKeyのような物理的なハードウェアドングルで、PCに物理的に挿入することで認証を行います。車のキーを想像してみてください。所有者であり、所持している以上、本人であることを証明しなければなりません。
GoogleがAndroidスマートフォンを「ハードウェアドングル」として利用するという新しい手法は、ほぼ同じですが、完全に同じではありません。スマートフォンのアプリに通知を送信する代わりに（スマートフォンを紛失し、PINコードを知っている攻撃者がアプリに通知を送信すると、攻撃者がアプリにアクセスできる可能性があります）、ウェブサイトやサービスはBluetooth経由でスマートフォンに接続しようとします。Googleの新しい2FA方式では、ドングルをPCに物理的に挿入する必要はありませんが、Bluetoothの通信範囲は比較的短いため、攻撃者がPCの近くにいる間にロック解除されたスマートフォンにアクセスする可能性は比較的低くなります。
それ以外の点では、この2要素認証の仕組みはお馴染みのはずです。ログインすると、サービスからスマートフォンに「サインインしようとしていますか？」というリクエストが送信され、本人であることを確認します。現在、Googleの新しい認証はGmailやG SuiteなどのGoogleサービスに限定されており、Android 7以降を搭載したスマートフォンが必要です。ただし、ウェブサイトで2要素認証を有効にするためにWebAuthnと連携するという兆候はありません。
Google のセキュリティ ページには、必要な手順が詳しく記載されています。
- 問題の Web サービスでまだ 2 要素認証を有効にしていない場合は、有効にします。
- Android スマートフォンで、myaccount.google.com/security にアクセスします。
- 「Google へのログイン」で、 2 段階認証プロセスを選択します。
- 「代替の 2 番目のステップを設定する」まで下にスクロールします。
- 「セキュリティ キーの追加」 を選択し、
Android スマートフォンを オンにします。
Pixel 3 を所有しているユーザーには、ボーナスが 1 つあります。実際に携帯電話のロックを解除する代わりに、(オプションで) 音量ダウンボタンをタップするだけで認証要求を確認できます。
