二段階認証とは？アカウントの不正利用を防ぐためにやっておくこと

私たちは日々、仕事、プライベートを問わず、様々なアプリやインターネットサービスでアカウント登録を行い、アカウントの本人認証を行うことで便利に利用しています。
その一方で、IDやパスワード盗難による”なりすまし”や乗っ取り、個人情報の流出といったアカウントの不正利用のニュースが後を絶ちません。

個人ユースはもちろんのこと、様々なビジネスシーンで利用するアカウントの不正利用は、思いがけない甚大な被害につながることも考えられます。

これらアカウント不正利用のリスクを回避する手段として広く利用されているのが「二段階認証」です。

今回は、二段階認証の仕組みや方法、主要プラットフォームの設定方法を詳しくご紹介します。
日ごろ意識することなく利用しているアカウントは、個人に関わる様々な情報を保持しています。”認証=本人であることの確認”が正しく行われ、アカウントの不正利用を防止するためにも是非とも二段階認証を利用しましょう。未だ、二段階認証の設定をしていない方は是非、本記事を参考に設定してみてください。

二段階認証とは

様々なインターネットサービスを利用する際、一般的にアカウントのIDとパスワードによる本人認証を行っています。
しかし、万が一、悪意のある第三者にIDやパスワードが漏洩した場合、アカウント乗っ取りや不正ログインなどの被害に遭う恐れがあります。

この不正ログイン対策の一つが二段階認証です。
二段階認証※とは認証プロセスを二段階にわけて行う認証方式です。

二段階認証では、IDとパスワードによる認証に加えて、もう一つの要素を使用して二段階のプロセスで認証を行うことで、パスワード盗難などの万が一の際でもアカウントの不正使用を防止することができます。

私たちが日々使い慣れている様々なプラットフォームやWebサービスの多くは、この二段階認証のしくみを提供しています。
個人利用のアカウントはもちろんのこと、仕事で使用しているアカウントの不正利用は思いもかけない甚大な被害につながる可能性がありますので、アカウントの不正利用を防ぐためにも是非とも設定をお勧めします。
（弊社でも、業務で使用しているアカウントについて、二段階認証の設定を義務付けています。）

二段階認証と二要素認証

二段階認証と同様、認証を強化する方法に二要素認証があります。
二要素認証とは以下のうち異なる2種類の要素を使用してセキュリティを高める認証方式で、二段階認証とは区別されています。

1. 「本人だけが知っていること（what you know）」･･･ID、パスワード、PINコード等
2. 「本人だけが所有しているもの（what you have）」･･･ICカード、キャッシュカード、ワンタイムパスワードを生成するハードウェアトークン等
3. 「本人自身の特性（who you are）」･･･指紋、虹彩，静脈等

二段階認証の仕組み

代表的なものにテキストメッセージコード（SMS）を利用した二段階認証があります。
IDとパスワードによる認証（第一段階認証）の後、登録済のスマートフォンに認証コードであるテキストメッセージコードが送信され、この認証コードを入力（第二段階認証）しないとログインすることができません。
このようにID/パスワードの認証に加え、本人しか知りえない認証コードやワンタイムパスワードの認証との2回のステップの認証を行うことで、セキュリティの強度を高めることができます。
また、同じブラウザや普段使い慣れているデバイスからの接続の場合、2回目以降の二段階認証は省略することも可能です。

1. 第一段階認証：ID/パスワードによる認証
2. 認証サーバーが、以下のような方法で認証コードやワンタイムパスワードを送信
   1. SMSやメール
   2. ソフトウェアトークン：二段階認証アプリ（ワンタイムパスワード発行アプリ）
      • Authy
      • Google Authenticator
      • Microsoft Authenticator　等
   3. ハードウェアトークン
      • カードやキーホルダー型の専用機器
   4. 電話
3. 第二段階認証：②で発行された認証コードやワンタイムパスワードでの認証

トークンとは、一度限り有効なパスワード（ワンタイムパスワード）を生成するしくみのことです。トークンにはパソコンやスマートフォンなどに専用アプリをインストールして利用する「ソフトウェアトークン」と、カード・キーホルダー型の機器にパスワードを表示させる「ハードウェアトークン」があります。
ソフトウェアトークンの代表的なものに二段階認証アプリがあります。

二段階認証を設定するには？

設定のフロー

各種インターネットサービスでは二段階認証が提供されており、利用しているサービス毎に設定する必要があります。
おおまかな設定のフローはほとんどのサービスで同様ですので、ここでは、Googleアカウントを例に二段階認証の設定フローをご紹介します。

1. インターネットサービスの設定画面で二段階認証を有効にする

https://myaccount.google.com/ より、Googleアカウントにアクセスします。

①左のナビゲーションから[セキュリティ]を選択

②[Googleへのログイン]の[2段階認証プロセス]をクリックし、画面の手順に従って設定していきます。

2. 電話番号の登録と認証コードの取得方法（SMS/音声通話など）を選択する
使用中のスマートフォンの電話番号の登録と認証コードの取得方法を選びます。認証コードをSMSで受け取る場合、「テキストメッセージ」を選択します。

3. 認証コードを受け取る
2.で指定した方法でスマートフォンに認証コードが届きます。

4. 認証コードを入力
3.で届いた認証コードを入力します。

5. 完了
「確認が完了しました。2段階認証プロセスを有効にしますか？」の画面で、「有効にする」をクリックします。

バックアップコードを必ず保管する

上記のように二段階認証では、SMS、音声通話、認証アプリなど、多くの場合、認証コードの取得にスマートフォンを使用します。
スマートフォンを破損/紛失/機種変更した場合や、SMS、音声通話、二段階認証アプリで認証コードを受け取ることができない場合は、バックアップコードを使用してログインできます。
言い換えれば、万が一、スマートフォンを紛失してしまった際、バックアップコードがないとログインできなくなってしまいますので、二段階認証を設定したら必ずバックアップコードを取得し、安全な場所に保管しておきましょう。

• Googleアカウント→セキュリティ→2段階認証プロセス→バックアップコード→コードを表示

二段階認証アプリとは

二段階認証アプリとは、第二段階で必要な認証コードを発行するソフトウェアです。
二段階認証にテキストメッセージを利用するかわりにアプリを利用して認証コードを取得します。
代表的なものにAuthyやGoogle Authenticatorがあります。
弊社ではAuthyを利用していますので、ここではAuthyの画面を基に使用方法をご紹介します。

1. 二段階認証アプリをダウンロードし、初期設定を行います。
   • Authyに登録するスマートフォンの電話番号やメールアドレスを登録
     • Code：+81（日本の国番号）
     • Cellphone number:：スマートフォンの電話番号
     • メールアドレス
   • 電話かSMSによる認証のどちらかを選ぶ
   • 電話かSMSで届いたコードを「REGISTRATION CODE」に入力
   • バックアップパスワードを入力
     • 万が一スマートフォンを破損/紛失/機種変更した場合、このパスワードと登録した電話番号で復旧することが可能
2. 使用するプラットフォームやサービスのアカウントを登録します。
   
3. 認証コードを受け取る
   二段階認証アプリを立ち上げると、登録しておいたアカウントの認証コードが表示されます。
   二段階認証アプリで表示された認証コードを利用して第二段階目の認証を行います。表示される認証コードは一定の時間が経過すると変更されます。

（例：Authyによる認証コードの発行）

各プラットフォーム毎の二段階認証方法

二段階認証はそれぞれ使用しているインターネットサービス毎に設定が必要となります。
ここでは、主要プラットフォームにおける二段階認証の設定方法をご紹介します。

Googleアカウント

• https://www.google.com/landing/2step/
• https://support.google.com/accounts/answer/185839

Googleアカウントについては画面詳細は上記をご参考ください。

Facebook

• https://www.facebook.com/help/148233965247823

＜設定フロー＞

1. 画面右上の▼ボタンをクリック>[設定]をクリックします。

2. 画面左のナビゲーションから[セキュリティとログイン]>[二段階認証を使用]>[編集する]をクリックします。

＜リカバリーコード（バックアップコード）＞

• https://www.facebook.com/help/148104135383285

Slack

• https://get.slack.help/hc/en-us/articles/204509068-Set-up-two-factor-authentication

＜設定フロー＞

1.  Account Settings の [Two factor authentication] の[Expand]をクリック

2．[Set Up Two-Factor Authentication]をクリック

3. 認証コードの受け取りをテキスト（SMS Text Message）か認証アプリを利用（Use an app）のどちらかを選択

＜バックアップコード＞

二段階認証を設定したら[Two-Factor Authentication]が[Active]になっていることを確認後、[You have 10 unused back up codes]をクリックし、表示された10個のバックアップコードを保管します。

Twitter

• https://help.twitter.com/ja/managing-your-account/two-factor-authentication

＜設定フロー＞

1. トップメニューのプロフィールアイコンをクリックし、[設定とプライバシー] >[ユーザー情報] の設定>[ログイン認証を設定] >手順を確認し、[始める] をクリック
2. パスワードを入力して [認証する] をクリック
3. 携帯電話番号を追加して [コードを送信] をクリック
4. 受け取った認証コードを入力して、[送信] をクリック
5. [バックアップコードを取得] をクリックし、バックアップコードを保存

＜バックアップコード＞

• https://help.twitter.com/ja/managing-your-account/issues-with-login-authentication

Instagram

• https://www.facebook.com/help/instagram/566810106808145

＜設定フロー＞

1. プロフィールに移動し、 をタップ>設定   をタップ>[セキュリティ]>[二段階認証]をタップ
2. [プライバシーとセキュリティ]をタップ
3. 二段階認証]をタップ>(テキストメッセージを利用する場合)[テキストメッセージ]タップ>携帯の電話番号を入力
4. 受け取った認証コードを入力

＜リカバリーコード＞

リカバリーコードとは何ですか。Instagramでの利用方法を教えてください。 | Instagramヘルプセンター

リカバリーコードを利用する方法をご説明します。

help.instagram.com

Amazon

• https://www.amazon.co.jp/gp/help/customer/display.html?nodeId=202073820

Apple

• https://support.apple.com/ja-jp/HT204915

Yahoo!

• https://id.yahoo.co.jp/security/otp.html

ソーシャルログインと二段階認証

ソーシャルログインとは、FacebookやLINEなど、SNSのアカウント情報を利用して会員登録やログインができる機能です。

• ソーシャルログインの基本講座｜特徴・導入メリットからID連携で実現するIDマーケティングまで

ソーシャルログインは、Webサイトやアプリへのログインを簡単するだけでなく、アカウントのセキュリティを高めることができるという利点もあります。

例えば、二段階認証が用意されていないWebサイトやサービスであっても、プラットフォームが提供する二段階認証を設定しておくことで、セキュリティ強度を保ちながらサイトにログインすることが可能となります。