Windows Liveアカウントのシングルサインオン(使い捨て)コードを取得して安全にログインする方法

ネットカフェや図書館など、不特定多数の人が利用する共用パソコンでWindows Liveアカウントをチェックするのは、大きなセキュリティリスクを伴います。こうした環境では、キーロガーと呼ばれる監視プログラムや悪意あるスクリプトが密かに仕込まれているケースがあり、テキストボックスやドキュメントに入力した内容がすべて記録されてしまう恐れがあります。

共用パソコンからメールアカウントのユーザー名とパスワードを入力すると、そのキーストロークは記録され、遠隔のFTPサーバー上にテキストファイルとして保存されることもあります。ログインを終えて席を離れた後、攻撃者はキーロガーが記録したIDとパスワードを使って、あなたのWindows Liveアカウントへ不正アクセスできるのです。

この脅威はWindows Liveに限った話ではなく、GmailやYahoo!メールなど他のメールサービスにも共通しています。そこで役立つのが「シングルサインオンコード」という仕組みです。まずは基本から見ていきましょう。

シングルサインオンコードとは?どうやって取得するのか

シングルサインオンコードとは、メールアカウントのパスワードの代わりに使える「使い捨てのトークン」のことです。このコードを使えばパスワードを入力せずにアカウントへサインインでき、コードはメールサービス提供元から発行されます。

最大の特徴は、コードが最初の1回しか使えず、サインイン後すぐに無効化される点です。つまり、たとえキーロガーにコードを記録されたとしても、次回以降そのコードでアカウントへアクセスすることはできません。残念ながらGmailやYahoo!メールはまだこの機能をサポートしていませんが、Windows Liveではこのセキュリティ機能が実装されています。

Windows Liveアカウントでシングルサインオンコードを有効化する手順

1. アカウント概要ページにアクセスし、Windows Liveアカウントでサインインします。以下のようなアカウント概要画面が表示されます。

2. 「パスワードリセット情報」セクションにある「携帯電話」の横の「追加」リンクをクリックします。次のページで国を選択し、携帯電話番号を入力します。

注意: シングルサインオン機能は一部の国・地域でのみ利用可能です(米国、オーストラリア、スペイン、ドイツ、オランダ、トルコ、英国、フランス、中国、日本、ブラジル、イタリア、メキシコ、アルゼンチン、コロンビア、ガーンジー、マン島、ジャージー)。

3. 「追加」ボタンをクリックすれば、Windows Liveでの電話番号認証は完了です。

サインイン時にシングルサインオンコードを要求する方法

1. コードを要求するには、Windows Liveのログインページを開き、ユーザー名だけを入力欄に入れます。ここでパスワードまで入力してしまうと、シングルサインオンコードを使う意味がまったくなくなってしまうので注意してください。

代わりに「使い捨てコードを取得してサインインする(Get a single use code to sign in with)」というリンクをクリックします。

2. リンクをクリックすると、以前のCookieがすべて削除されてページが更新されます。表示された画面で「Get One Here(こちらから取得)」リンクをクリックします。

3. 「Get one here」リンクをクリックしたら、Windows Live IDと、アカウントに登録済みの電話番号を入力します。このとき、適切な国を選択することも忘れないでください。

4. 次に「Send text message(テキストメッセージを送信)」ボタンを押すと、すぐにSMSが携帯電話へ届きます。メッセージは以下のような内容です。

Windows Live Single-Use code : XXXXXXX. Reply STOP or HELP for help.

注意: このコードを使いたくない場合は、「STOP」と返信すればコードは永久に破棄されます。新しいコードはいつでも再取得できます。

5. 届いた使い捨てコードを、サインイン画面の専用入力欄に入力します。

これで完了です。パスワードを一切入力することなく、Windows Liveアカウントへのサインインに成功しました。仮にそのパソコンにキーロガーが仕込まれていてコードを記録されていたとしても、攻撃者が同じコードを再利用することはできません。使い捨てコードはWindows Liveアカウントからサインアウトした時点で即座に無効化され、誰(本人であっても)が再度使おうとしても機能しないためです。

Gmailユーザーの方もぜひこうしたセキュリティ対策を参考にしてください。他のメールプロバイダーも近い将来、同様の機能を実装してくれることを期待したいところです。ご意見があれば、ぜひコメントでお聞かせください。