オンラインセキュリティ: 2要素認証チェックリスト

Twitter は、今後数週間以内に 2 要素認証を導入する準備を進めていると報じられている。同社の現在のセキュリティ対策が不十分であることを考えると、これはまさに時宜を得た動きと言える。

火曜日、ハッカーがAP通信のTwitterアカウントを乗っ取り、ホワイトハウスで2件の爆発があったと虚偽の報道をしたことで、Twitterアカウントのセキュリティの脆弱性が露呈した。AP通信への攻撃は、CBSニュースが管理するTwitterアカウント（「60 Minutes」「48 Hours」、そしてデンバーのネットワーク系列局のアカウントを含む）が乗っ取られてからわずか数日後に発生した。

これらのTwitterアカウントが二要素認証で保護されていたら、悪意のある攻撃は不可能ではないにしても、より困難になっていたでしょう。Wired誌は、この機能が今後数週間でTwitterアカウントに段階的に導入されると報じています。

二要素認証では、オンラインアカウントにアクセスする前に2つのログイントークンを入力する必要があります。最初のトークンは標準のパスワード（ユーザーが知っている情報）で、2つ目のトークンはスマートフォンアプリでランダムに生成されるか、SMSやメールで送信されるログインコード（ユーザーが持っている情報）です。

Dropbox、Facebook、Google、Microsoftなど、既にご利用いただいている多くのオンラインサービスでは、2段階認証がセキュリティ対策として一般的になりつつあります。2段階認証は少し面倒かもしれませんが、Facebookやメールアカウントを操作できなくなった経験のある方なら、そのセキュリティ強化は多少の手間をかけるだけの価値があると実感できるでしょう。

ここでは、日常的に使用する主要なオンラインサービスにおける 2 要素認証の現在の仕組みを簡単に説明します。

グーグル

2 要素認証を初めて使用する場合は、Google が最適な開始アカウントです。Google Authenticator スマートフォンアプリを使用して、他の多くのサービスのランダムアクセスコードを生成できるためです。

設定するには、Googleの2段階認証ランディングページにアクセスし、ウィンドウの右上にある「開始」ボタンをクリックします。その後、Googleが2段階認証を有効にする手順を案内します。これには、スマートフォンユーザー向けのGoogle Authenticatorのダウンロードとインストールが含まれます。

Google Authenticatorアプリは、Android、iOS、BlackBerry 4.5～6.0のデバイスでご利用いただけます。スマートフォンをお持ちでない場合でも、SMSでアクセスコードを受信することで、Googleの2段階認証をご利用いただけます。

Googleの2段階認証を有効にすると、Googleアカウントにアクセスする他のアカウントやデバイスを再認証する必要があります。Google Authenticatorの使い方は非常に簡単です。通常のパスワードでGoogleアカウントにログインし、Google Authenticatorによってランダムに生成された確認コードを入力します。

通常のGoogleアカウントでは、ログイン時にチェックボックスをオンにすることで、自宅のノートパソコンなど、信頼できるPCにログインするたびに2段階認証を要求されなくなります。Google Appsユーザーは、信頼できるデバイスを一度に30日間のみ認証できます。

Google の 2 要素認証の問題は、一部のプログラム (たとえば、Gmail にアクセスするスマートフォンのメールクライアント) がこれに対応していないことです。

これらのアプリでは、通常のパスワードの代わりに、ランダムに生成されたアプリケーション固有のパスワードを使用する必要があります。これらのパスワードは2要素認証を必要とせず、いつでも無効にすることができます。アプリケーション固有のパスワードは、サービスごとに1回のみ入力する必要があります。Googleアカウントにログインしてこちらをクリックすることで作成できます。

Microsoftアカウント

マイクロソフトは4月初めにオンラインアカウントに2要素認証を追加したばかりだ。

始める最も簡単な方法は、アカウントにログインしてアカウント管理ページにアクセスすることです。

左側のナビゲーションパネルから「セキュリティ情報」を選択し、ページ上部にある「2段階認証を有効にする」をクリックします。すると、Microsoftからアカウントに登録されている電話番号にSMSが送信され、2要素認証を開始するための承認コードが送信されます。

Google と同様に、Microsoft ログインコードを SMS 経由で取得したり、Google Authenticator などの 2 段階ログインスマートフォンアプリケーションを承認したりすることができます。

Google アカウントで Google Authenticator を設定したので、Microsoft でもこれを再度使用してみましょう。

先ほど開いていた「セキュリティ情報」ページから、「認証アプリ」の見出しの下にある「設定」をクリックします。QRコードが表示されるので、それをスキャンしてGoogle Authenticatorに登録します。次に、アプリによって生成されたログイントークンを入力し、すべてが正常に動作していることを確認します。

2要素認証は、Outlook.com、SkyDrive、Windows 8搭載PCなど、ほとんどのMicrosoftサービスで利用できます。他のサービスと同様に、デバイスをお気に入りに登録しておくことで、PCにログインするたびに2要素認証を使用する必要がなくなります。Xbox 360など、一部のデバイスは安全なログイン方法をサポートしていません。この問題を回避するために、Microsoftは、代わりに固有のアプリパスワードを使用してマシンにログインできるように支援するとしています。

ドロップボックス

こちらのウェブ版Dropboxアカウントにサインインし、「セキュリティ」タブをクリックしてください。このタブの最初の3つのオプションの1つに「2段階認証を無効にする」があります。「変更」をクリックして、Dropboxの2段階認証を有効にしてください。

認証プロセス中に、SMSで確認コードを受信するか、Google Authenticatorにランダムなログインコードを生成するよう許可するかを選択できます。Dropboxは、AWS Virtual MFAやWindows Phone用Authenticatorなど、他の認証アプリもサポートしています。

Dropbox の 2 要素認証は、ほとんどの場合、不明なマシンからサービスのウェブサイトにログインする場合にのみ使用されます。Dropbox デスクトップアプリは、インストール時または 2 要素認証の設定後にのみ承認する必要があります。

同社のモバイルアプリでは、アプリからサインアウトするたびに 2 要素認証が要求されますが、これはタブレットやスマートフォンの電源が切れたり再起動したりした場合に発生する可能性があります。

プロセスのより詳しいウォークスルーについては、PCWorld のDropbox 2 段階認証の実践ガイドをご覧ください。