Windows Hello × YubiKey完全ガイド：設定方法から注意点まで

Windows 10の中でも地味ながら見逃せないハイライトのひとつが「Windows Hello」です。生体認証によってWindows 10デバイスへのアクセス時に本人確認ができるこの機能は、まさにSF映画の世界を実現するようなものです。

筆者はWindows 10デバイスで、虹彩認証と指紋認証の両方をWindows Helloと組み合わせて使用しています。操作はシームレスで安全性も高く、複雑なパスワードを覚える必要も、背後からパスワード入力を盗み見られる心配もありません。

YubiKeyとは?

2016年のWindows 10 Anniversary Update(周年アップデート)では、Windows Helloのユーザー認証オプションが拡張され、標準規格ベースの認証が導入されました。Windows 10は、キーベース認証と証明書ベース認証の両方をサポートしています。

キーベース認証はFIDOモデルの公開鍵暗号方式に相当し、証明書ベース認証はPKI(公開鍵基盤)に関連します。前者は、PKIを導入していない企業や、証明書への依存を最小限に抑えたい企業にとって魅力的な選択肢となります。

2007年創業のYubico社が発表したYubiKeyは、多用途に使える認証デバイスです。Dropboxなどのホスト型・クラウド型サービス向けに、多くの標準規格ベースの認証プロトコルをサポートしており、現在ではWindows 10ユーザーのためにFIDOエコシステムを実現しています。

Windows Hello用のYubiKey

興味深いことに、Windows Helloの認証にYubiKeyを使用するには、Windowsに組み込まれたWindows Helloの設定画面ではなく、Microsoft Storeから別アプリ「YubiKey for Windows Hello」をダウンロードする必要があります。

このアプリはWindowsコンパニオンデバイスフレームワークを基盤としており、ステップごとにYubiKeyを登録し、Windows Helloで動作させるまでを丁寧に案内する、非常にシンプルな作りになっています。登録が完了すれば、デバイスの前に座ってYubiKeyを挿すだけで本人認証が行われ、Windows 10へログインできます。なお、1つのアカウントにつき最大4本のYubiKeyを登録可能です。

Windows Helloへの登録時には、YubiKey側でCCIDモードが有効になっている必要があります。CCIDはすべてのYubiKey 4でデフォルト有効ですが、一部の古いYubiKey NEOでは無効になっている場合があります。その場合は「YubiKey NEO Manager」を使ってCCIDモードを有効化してください。

Windows 10デバイスでのYubiKeyの使い方

セットアップが完了すると、YubiKeyはWindows Helloのコンパニオンデバイスとして認識されます。そのため、Windowsへのログオンだけでなく、OneDriveやEnpassなど、Windows Hello認証を利用するアプリでも活用できます。友人や同僚にパスワードを教えることなく、一時的にPCへのアクセスを許可したいときにも便利です。

1台のデバイス上でYubiKeyを紐付けできるのは1つのアカウントのみですが、複数のデバイス・複数のアカウントに対して同じキーを使うことは可能です。筆者は同じYubiKeyを、自分のMicrosoftアカウントのSurfaceにも、妻のアカウントのノートPCにも使用しています。

ただし、いくつか制限点もあります。まず、YubiKeyを抜いてもWindows 10デバイスは自動的にログオフしません。「キーで本人確認しているのだから、抜けばロックされるはず」と考えるのは自然ですが、実際にはそうならず、手動でロックするか、あらかじめ設定した自動ロックに任せる必要があります。

また、システムのロック解除にYubiKeyを必須にすることもできません。PINやパスワードを使えば、いつでもアカウントにアクセスできてしまいます。

まとめ

YubiKeyにはいくつかのバリエーションがあります。筆者はYubiKey 4(40ドル)とYubiKey 4 Nano(50ドル)を入手しました。Nanoはサイズが小さく、USBポートに挿してもほとんど飛び出さない一方、取り外すのが少し不便です。YubiKey 4は一般的なスリムなUSBメモリに似た形状で、キーリングの鍵束にもすっきり収まります。

さらに、YubiKey NEO(50ドル)というモデルもありますが、こちらはYubiKey 4より動作が遅いという既知の問題があり、Yubicoはタップ操作ではなく、画面をスワイプするか任意のキーを押すことを推奨しています。

YubiKeyは、Windows 10デバイスでWindows Helloを有効化するのにとても便利なデバイスです。セットアップは簡単で、導入もスムーズです。企業が従業員に配布する用途にはもちろん、個人ユーザーにとっても手頃で実用的な認証デバイスと言えるでしょう。