Googleがスマホを物理セキュリティキーに――新しい2要素認証機能の使い方と安全性を徹底解説

Googleの2要素認証(2FA)をご存じない方はいないでしょう。実際に活用している方も多いはずです。これは、フィッシング攻撃やアカウント乗っ取りからユーザーのアカウントを守るためのGoogleの保護策であり、アカウントとそのデータを安全に保つ重要な役割を果たしています。今回Googleは、2要素認証の手法に新たな機能を追加しました。従来の2FA方式で残されていた弱点を埋める試みです。

Googleは最近、スマートフォン自体をログイン用のセキュリティキーとして登録できるようにしました。これにより、攻撃者はスマホに物理的にアクセスできない限り、アカウントを乗っ取ることが困難になります。既存の2FA手段と何が違い、どのようにセキュリティを強化するのでしょうか。

Googleにおける2要素認証の歴史

Googleは長年にわたり、ユーザーデータの保護に力を注いできました。最も一般的だった2要素認証の形態はSMS認証です。Googleアカウントに電話番号を登録しておくと、Googleサービスにログインするたびに、確認済みの電話番号宛てに届く6桁のコードの入力を求められます。

この仕組みによって不正アクセスは防げると考えられていましたが、フィッシング攻撃者はなんとかしてコードを手に入れる方法を見つけてしまいました。偽のメールでパスコードを要求したり、通信事業者のサーバーに侵入したりする手口です。そこでGoogleは、Google Authenticatorアプリを使った高度な2要素認証へと移行していきました。

Google Authenticatorは2010年に初めてリリースされましたが、広く知られるようになったのはそのかなり後のことです。これはユーザーのスマホにインストールするモバイルアプリで、GoogleサービスやFacebookなどサードパーティ認証に対応したアプリへのログイン時に使える6桁のランダムなコードを生成します。アカウント登録時にQRコードをスキャンする時間以外、Google Authenticatorはサーバーと接続しないため、この6桁のコードは秘密に保たれます。アプリはアカウントと鍵を同期し、その鍵が時間ベースの要素を使ってパスワードを頻繁に変更します。つまり、サーバーに接続していなくても、その都度新しいワンタイムパスワードを取得できるのです。

Authenticatorは信頼できる2FA手段として広く受け入れられましたが、Googleは2016年に「Google Prompt」という別の2要素認証を開始しました。これはログイン時に接続されたモバイルデバイスでの操作を必要とするものです。名前の通り、PromptはGoogleアカウントにログインするたびにモバイルデバイス上に画面プロンプトを表示し、「あなたがサインインしようとしていますか?」と尋ねます。質問とともに、ログインに使用しているデバイス、時刻、推定位置情報も表示されます。「はい」をタップすればアクセスを許可し、「いいえ」なら自分ではないことを伝えられます。

さらに2018年には、Google Titanセキュリティキーを投入しました。USB、モバイルUSB、Bluetooth対応のキーで、ログインを認証するにはまずデバイスに接続する必要があります。キーがなければ、ログインしてサービスにアクセスすることはできません。フィッシング攻撃やアカウント乗っ取りに対する最強の防御線として位置づけられていました。

そして今、Googleはログイン保護をさらに一歩進めました。

スマホを使ったBluetoothベースの新しい2要素認証

新しく導入された2FAセキュリティ対策では、Googleはセキュリティキーのシリーズに新たなデバイスを追加しました。今回は店頭で別途購入する必要はありません。スマホと、アカウントにアクセスする側のデバイスをBluetoothで接続することで、スマホ自体をセキュリティキーとして使えるようにしたのです。Google TitanをBluetoothでアクセス端末と接続していたのと同じように、今度はスマホを同じBluetooth経由で接続し、Googleのセキュリティキーとして使用します。

組み込みセキュリティ機能を設定するための要件

始める前に、この機能を有効化・使用するためのいくつかの要件があります。

• まず、デバイスはAndroid 7(Nougat)以降である必要があります。Android 7未満(またはその他のOS)ではこの機能はサポートされません。
• この機能は、GoogleアカウントへのアクセスにGoogle Chromeをウェブブラウザとして使用している場合にのみ動作します。ブラウザはどのOSでも開けますが、Microsoft EdgeやSafariを普段使いのブラウザとしている場合は利用できません。
• モバイルデバイスとPCの両方に内蔵BluetoothとGPSが必要です(最近のデスクトップPCやノートPCであれば問題ありません)。

スマホをGoogleセキュリティキーにする方法

まず、通常どおりSMS認証やGoogle Prompt、あるいは2FAなしで直接など、いつも通りの方法でGoogleマイアカウントにログインします。その後、「アカウントを保護しています」という項目の下にある「開始」ボタンをクリックします。

すると、Googleセキュリティチェックアップの画面に移動します。そこで「2段階認証プロセス」ボタンをクリックします。

ボタンをクリックするとドロップダウンメニューが表示され、現在の2段階認証機能の詳細がわかります。そこで「2段階認証の設定」オプションを探してリンクを開きます。

次にアカウントにログインし、ウィンドウを下にスクロールして、他の2FA方法の中から「セキュリティキー」オプションを見つけます。「セキュリティキーを追加」ボタンをクリックします。

クリックすると別のオプションパネルがポップアップ表示され、設定したいセキュリティキーを選択します。

すでにGoogle Titanをお持ちであれば準備完了です。持っていなくても、Googleの新機能によりスマホを内蔵セキュリティキーとして追加できます。

先に進むと、GoogleからモバイルのGPSとBluetoothをオンにするよう求められます。それを確認して「追加」ボタンをクリックしてください。

以上で完了です。「追加」ボタンをクリックすれば、モバイルデバイスが内蔵セキュリティキーとして正常に追加されます。

また、このデバイスを削除したい場合は、右側にあるゴミ箱アイコンをクリックするだけで簡単に解除できます。

以前の2FA方法より優れているのか?

答えはイエスです。SMS認証による2FAには多くの脆弱性があります。メッセージは通信事業者のネットワーク上で送信されるため、追跡やハイジャックが可能だからです。そのため、SMSは決して最良の2FA選択肢とは言えず、特にビジネスアカウントには不向きでした。次に、Google AuthenticatorとGoogle Promptについて見てみましょう。Google Authenticatorは有効な選択肢ですが、Google Promptはスマホが破損した場合には役に立ちません。また、両者ともスマホが盗まれ、画面ロックが突破された場合(モバイル技術の中程度の知識があればそれほど難しくありません)、悪用される危険性があります。

そしてTitanです。50ドルのドングルで、あらゆる種類のデバイスに対応するには3本必要になります。確かに非常に安全ですが、小さな形状ゆえに紛失した場合、アカウントはおしまいです。すべてが失われた場合、Googleサポートに連絡して復旧するのは複雑で時間のかかる作業となります。

なぜ新たな2要素認証方法なのか?

Googleはユーザーデータセキュリティへの怠慢を理由に厳しい監視を受けており、特にヨーロッパでは多額の罰金を科されてきました。GDPR当局は、ユーザーデータを安全に保てなかったGoogleの失敗を繰り返し批判しています。この新機能はそうした消費者満足への取り組みの一つであり、Googleが世間でのイメージを回復する助けになるかもしれません。さらに、大多数の人々がアカウントサービスをGoogleに依存している以上、その層を満足させ、常にアイデンティティを保護するのはGoogle自身の責任だと言えます。

この機能は成功するのか?

Googleの性質を考えれば、成功と人気を得る可能性は高いと言えます。しかし繰り返しますが、スマホが破損したり盗まれたりした場合、アカウントはおそらく永久に失われるでしょう。加えて、Googleの内蔵セキュリティキー機能の要点は、攻撃者がスマホを近くに持っていなければアカウントを乗っ取れないようにすることにあります。つまり、スマホを常に身近に置いておく必要があります。この機能はモバイルとログインデバイスの両方が近接していることをGPS位置情報で監視するためです。

最後にアドバイスを一つ。スマホを紛失した場合に備えて、少なくとも1台の信頼できるデバイスを2要素認証の代替として登録しておきましょう。スマホやセキュリティキーの紛失は2FAにおけるよくある問題です。信頼できるデバイスを1台登録しておけば、2FAを通過せずにアカウントへログインでき、その後設定から盗まれたキーやSMS認証を削除できます。

Googleの新しい内蔵セキュリティキー機能は現時点でAndroidデバイスのみ利用可能で、しばらくの間はChromeでのみ動作します。Facebookなどの他のアプリやプラットフォームへの対応時期については、Googleはまだ明らかにしていません。Googleは現在あらゆる側面を検討しており、潜在的な抜け穴がないか機能を監視し続けています。果たしてどれほど成功するのかは、時間が教えてくれるでしょう。