認証アプリで二要素認証（2FA）を設定する方法｜初心者向けガイド

パスワードだけでは、一度漏えいしただけで他人にアカウントへログインされてしまいます。二要素認証（2FA）は、そこにもう一段階の確認を加える仕組みです。絶えず変わり続け、あなたのスマートフォンだけが生成できる短いコードがなければログインできません。たとえパスワードが流出しても、そのコードがなければアカウントは守られたままです。

認証アプリのコードの仕組み

認証アプリは、RFC 6238で標準化されたTOTP（Time-based One-Time Password、時間ベースのワンタイムパスワード）というアルゴリズムを使っています。2FAを有効にすると、サービスとスマートフォンの間で共有シークレットが取り決められます。通常はQRコードの形で受け渡されます。それ以降は双方がこのシークレットと現在時刻を組み合わせて計算し、同じ短いコードにたどり着きます。ほとんどのサービスでは6桁のコードが使われ、30秒ごとに新しいコードに切り替わります。

実際に使ううえでは、次の2点が重要です。

• ネット接続は不要。 コードはスマートフォン上で計算されるため、機内モードでも、海外でも、飛行機の中でも使えます。
• 時計の正確さが大切。 スマートフォンの時刻がずれると、コードが一致しなくなります。日付と時刻は「自動設定」にしておきましょう。

SMSのコードではだめなの？

SMSのコードも何もしないよりはましですが、電話網を経由して届くため、傍受されたり転送されたりするおそれがあります。たとえば、攻撃者が携帯電話会社を言いくるめて、あなたの電話番号を新しいSIMに移してしまうケースです。こうした理由から、NISTのデジタルアイデンティティガイドラインでは、SMSによる認証を「制限付き（restricted）」の認証手段に分類しています（SP 800-63B）。認証アプリなら、シークレットは端末の中に保管されます。

2FAを有効にする手順

メニューの構成はサービスによって異なりますが、流れはほぼ共通です。

1. アカウントのセキュリティ設定を開き、「二要素認証」「2段階認証」「ログイン認証」などの項目を探します。
2. 認証方法として認証アプリを選びます。サービスによってはSMSを優先して表示し、認証アプリを「その他の方法」の中に隠していることもあります。
3. サービスにQRコードが表示されます。Ringで追加ボタンをタップし、カメラで読み取ります。読み取れない場合も、たいていのサービスでは手入力用のテキストキーが表示されます。
4. Ringにすぐ、そのアカウントのコードが表示されます。現在のコードをウェブサイトに入力して、設定を完了させます。
5. リカバリーコードを保存します。 多くの人が飛ばしてしまい、あとで後悔するステップです。

アカウントから締め出されないために

Ringはシークレットを暗号化して端末内にのみ保存し、ほかの場所には一切保存しません。だからこそプライバシーが守られるのですが、裏を返せば、スマートフォンを紛失したり初期化したりすると、コードも一緒に失われるということです。いざというときに備えて、次のことをしておきましょう。

• 設定時に各サービスが提供するバックアップコードをダウンロードするか書き留め、スマートフォンとは別の安全な場所に保管します。
• サービスが対応していれば、ハードウェアキーや別の端末など、2つ目の認証方法を追加します。
• 機種変更の際は、古い端末を初期化する前に、新しい端末へアカウントを移行します。

すでに紛失してしまった場合は、2FAのコードが入ったスマートフォンをなくしたときの対処法をご覧ください。

無理なく使い続けるための工夫

2FAを結局オフにしてしまういちばんの理由は、手間がかかることです。いくつかの習慣で、負担はぐっと減らせます。

• 仕事、金融、SNSなどのフォルダにアカウントを分けておけば、目的のコードが一瞬で見つかります。
• 6桁の数字を打ち直す代わりに、ワンタップコピーを使いましょう。
• よくログインするアプリの隣に、ホーム画面ウィジェットを置いておきましょう。
• Face IDでアプリをロックすれば、ほかの人がスマートフォンを手にしていてもコードは見られません。

まずは何から始めるか

すべてを一度に守る必要はありません。まずは、ほかのすべてのアカウントをリセットできるアカウントから始めましょう。メインのメールアドレス、Apple Account、パスワードマネージャー、そして銀行です。SNSや仕事用のツールは、次にログインしたときに追加すれば大丈夫です。