私が使用する多くのアプリでは、二要素認証（ログイン プロセスで、自分が本人であることを確認するための追加ステップ）が必要です。かつては、携帯電話を取り出して認証アプリを開き、一意のコードを手動で入力する必要がありました。そして、コードを手探りすると (正直に言うと、よくありました)、このプロセスを繰り返さなければなりませんでした。
ただし、 Zapierでは、YubiKey を使用してこれを実行します。その方がずっと便利です。当社のセキュリティチームにとって嬉しいことに、このデバイスは他の二要素認証デバイスよりも安全です。その理由と、YubiKey の設定方法もご紹介します。
目次：
YubiKeyとは何ですか?
YubiKey は、二要素認証 ( 2 FA) を可能な限り簡単にするデバイスです。多くのアプリ、オンライン サービス、コンピューターでは、ユーザーが接続するたびに2 FA が強制されます。コードがテキストで送信されたり、認証アプリによって生成されたりするのではなく、YubiKey のボタンを押すだけでログインできます。それです。
このように、デバイスがサポートするさまざまなプロトコルを計算して分析することもできますが、おそらく知っておく必要があるのは、各デバイスには固有のコードが組み込まれており、身元を確認するのに役立つコードを生成するために使用されるということです。
YubiKey は、市場に出回っている唯一のハードウェア 2FA デバイスではなく、最も人気のあるデバイスです。同様のデバイスは数多く存在し、この記事で概説されている情報のほとんどがそれらに当てはまります。
二要素認証とは何ですか?
二要素認証についてはこれまで詳しく説明してきましたが、ハードウェア2FAデバイスがなぜ優れたアイデアなのかを説明する前に、基本事項について説明する必要があります。
パスワードはひどいものです。ほとんどはハッカーが推測するには簡単すぎて、残りは人間が覚えるには長すぎたり複雑すぎたりします。安全なパスワードでも、一度漏洩すると役に立たなくなり、漏洩は基本的に避けられません。これらの理由やその他の理由から、パスワードに完全に依存しないことをお勧めします。これが二要素認証の基本的な考え方です。
2 要素認証では、サインインするためにパスワードだけでなく、自分が本人であることを証明する何か他のものも必要になります。おそらく、FAを行う2つの方法 2ご存知でしょう。
SMSまたはEメールコード。アプリからコードが送信され、ログインする前にそのコードを入力する必要があります。これは、ソフトウェアをインストールしたり、ハードウェアを購入したりする必要がないため、セットアップするのが最も簡単な方法です。また、EメールとSMSはどちらも暗号化されておらず、簡単に侵害されるため、最も安全性が低くなります。
認証アプリ。ログインしたいアプリでは、Google Authenticator やAuthyなどのアプリを携帯電話で開いて取得できるコードの入力を求められます。これは、SMS や電子メールに頼るよりもはるかに安全ですが、携帯電話を取り出してアプリを開き、手動でコードを入力する必要があるため、あまり便利ではありません。
YubiKeyは、FAを行う3番目の方法であるハードウェア認証 2表しています。アプリでは、YubiKey などのツールをデバイスに接続してボタンを押すように求められます。次に、YubiKey は、サービスがあなたの身元を確認するために使用できる一意のコードを送信します。
もちろん、これよりも多くのニュアンスがあります。しかし、ほとんどの場合、ハードウェア 2FA の方がより安全で使いやすいことを知っておく必要があります。
YubiKey が他の 2FA デバイスよりも優れているのはなぜですか?
これについてはすでに少し説明しましたが、YubiKey（および同様のデバイス）が他の形式の2FAよりも優れている理由について説明しましょう。いくつか例を挙げると、次のようになります。
利便性。SMS、Eメール、認証アプリはすべて、コードを手動で入力するか、コピーして貼り付ける必要があります。YubiKeyを使用すると、コンピューターに接続されたデバイスのボタンを押すだけで、コードを入力します。
はるかに長いコード。他の 2FA メソッドでは、通常、身元を確認するために 6 桁のコードしか送信されませんが、その主な理由は、人間がそれ以上のものを入力することを期待するのは不合理だからです。YubiKeys はコードを手動で入力する必要がないため、はるかに長いコードを自由に使用できます。その方が安全です。
移行が簡単。新しいコンピューターを手に入れましたか?YubiKeyを古いものから取り外し、新しいものに接続するだけです。これまでと同じように、すべてのアプリにログインできます。1 つのキーを使用して複数のコンピューターのアカウントにログインすることもできます。
ハッキングするのは本当に難しいです。ハッカーがあなたのEメールやSMSを侵害するのは比較的簡単です。独自のハードウェアデバイスによって生成されたコードを偽装することは、現在のテクノロジーでは不可能に近い、はるかに困難です。
繰り返しになりますが、 ここではさらに多くの微妙な違いがありますが、これらは他のフォームの2 FA に対する YubiKey の広範な利点です。
YubiKeyの設定方法
YubiKey の設定は、 2 FA アプリの設定とそれほど変わりません。YubiKey (他のハードウェア認証システムではない) を使用している場合は、次の手順を実行する必要があります。
YubiKeyを接続します。
Yubico.com/setupにアクセスし、デバイスをクリックします。
「互換性のあるアカウントとサービス」セクションで、サポートされているアプリとサービスのリストを参照し、デバイスで保護するアプリとサービスを選択します。
選択したアプリは、利用可能なアプリの横のリストに表示されます。
選択したアプリの横にある再生アイコンをクリックし、ビデオのセットアップ手順に従います。または、ボックス内の斜めの矢印をクリックしてテキスト バージョンにアクセスします。
設定はアプリやデバイスによって異なりますが、例としてコンピューターにGoogleをセットアップします。
テキストの説明リンクをクリックします。
YubiKey を Google アカウントに追加するための 手順が表示されます。
「セキュリティ キーを登録」をクリックします。
YubiKeyをコンピュータのUSBポートに挿入し、タッチするか、ボタンを押します。
必要に応じて、ブラウザに YubiKey へのアクセスを許可します。
オプションで、YubiKey に名前を付けることができます。これは、セキュリティ キーがある場合に便利です。
それです。これで、YubiKey を使用して、どのデバイスでも Google アカウントにログインできるようになります。この方法でロックダウンするすべてのアカウントに対して、このプロセスを繰り返します。
YubiKeyとは:よくある質問
YubiKeyの使用方法についてまだ質問がありますか?よくある質問への回答をご覧ください。
YubiKeyを誤ってトリガーしないようにするにはどうすればよいですか？
私は YubiKey 5C Nano を所有していますが、これはラップトップに接続したままにしておく小さな USB-C ドングルです。これはボタンというよりは、触れるとトリガーする薄い金属片です。私の場合は、ノートパソコンを手に取るたびに触れます。
YubiKey に触れると、何かにログインしようとしていると認識され、開いているテキスト ボックスにセキュリティ コードが入力され、Enter キーが「押された」状態になります。Slack では、結果は次のようになります。
これらのコードは、YubiKey がサーバーに接続するために使用するプロトコルの 1 つである OTP によって生成されます。OTP をオフにすることで、このような事態を完全に防ぐことができますが、一部のサービスにログインできなくなる可能性があります。
ほとんどのユーザーにとっては、ボタンを 3 秒間押し続けない限り OTP がトリガーされないように設定するのが良いと思います。YubiKey はこれを修正するための手順を提供していますが、従うのは少し難しいので、ここに要約を示します。
YubiKey マネージャーをコンピューターにダウンロードします。
インストールします。
プログラムを開きます。
アプリをクリックし、 [OTP]を選択します。
デフォルトでは、 スロット の ショートタッチ1 が設定されています。 2スロット の ロング タッチ は空です。これを変更するには、 「スワップ」をクリックします。
これで、チームのチャット アプリで誤って意味不明なメッセージを表示することなく、YubiKey を自由に操作できる時間が2 . 9秒増えました。
注意:スロット2すでに別の目的で構成している場合は、セットアップが少し複雑になります。Yubicoからの指示は次のとおりです。
チャットルームで誤ってYubiKeyをトリガーするのは本当に悪いことでしょうか？
YubiKey コードを誤って Slack やテキスト エディターなどに貼り付けてしまった場合でも、すぐにパニックになる必要はありません。そのコードが誰のものであるか、何にログインするために使用できるかは完全には明らかではないからです。また、Slack に投稿した場合は、同僚があなたをハッキングしようとしていないことを祈ります。
そうは言っても、 2FA コードが漏洩すると、特にクリエイティブなハッカーが可能になる可能性は常にあるので、これを習慣にしないようにしてください。
また、それが起こっても無力ではありません。すべての YubiKey コードは一意であり、デバイスを使用して何かにログオンするたびに無効になります。ただし、心配な場合は、手動でコードを無効にすることができます。漏洩したコードを このウェブサイトに貼り付けるだけです。
1つのYubiKeyを複数のデバイスで使用できますか?
はい！YubiKey 用のスロットがあれば、必要な数のデバイスに YubiKey を使用してログインできます。YubiKey を任意のコンピューターに接続し、通常どおりログインするだけです。
YubiKeyを紛失した場合はどうなりますか?
それは素晴らしいことではありません。YubiKeyがないと、おそらくログできないでしょう。しかし、リスクを軽減するためにできることがいくつかあります。
バックアップ コードを使用します。2 FA をサポートするほとんどのサービス (YubiKey を含む) では、バックアップ コードを作成できます。これを行い、コードを安全な場所 (理想的にはオフライン) に保管してください。可能であれば、それらを印刷してロックボックスに入れることを検討してください。
バックアップ セキュリティ キーを追加します。フォールバックとして 2 つ目の YubiKey を購入し、それをすべてのサービスのオプションとして追加し、安全な場所 (バックアップ コードが入っているロック ボックスとは別のロック ボックスなど) に保管することができます。または、YubiKey を使用して設定したサービスに他の種類のアプリベースの2FA を追加することもできます。
バックアップ コードまたは別の2 FA 方法がなく、すでに YubiKey を紛失した場合でも、必ずしも運が悪いというわけではありません。FAを提供するほとんどのサービス 2、資格情報を紛失した後にログインするための何らかの検証プロセスがありますが、注意が必要です:これには時間がかかり、多くの問題が発生するでしょう。備えておくことが最善ですので、バックアップ コードを安全な場所に保管するか、2 番目の2 FA 方法を設定するようにしてください。
アカウントへのアクセスを回復した後は、 2 FA 方法として紛失した YubiKey を必ず削除してください。おそらく、YubiKey を見つけた人は、それがどのアカウントへのアクセスを提供しているかは知らないでしょうが、安全を期すに越したことはありません。
明確に言うと、Yubikey には識別可能なユーザー名は保存されず、パスワードも一切保存されません。YubiKey を見つけた人は、どのアカウントにログインできるかをまったく知ることができません。" が " を見つけた人が、それがあなたのものだと知っていれば、状況は少し変わる。たとえば、あなたの家やオフィスから盗んだからね。しかし、路上や空港でYubiKeyを見つけても、それが誰の鍵かわからない。
デジタルセキュリティを自動化
ハッカーやその他のサイバーセキュリティの悪質な行為者の注意を下回る人は誰もいません。中小企業経営者を含め、誰もがデジタルセキュリティ問題のリスクにさらされています。積極的なステップを講じることで、あらゆる脅威に対するデジタルセキュリティの有効性を高めることができます。自動化によってデジタル セキュリティを向上させる方法について詳しく説明します。
関連資料：
この記事はもともと Justin Pot によって 2020 年 7 月に公開されたものです。最新のアップデートは 2023年11月。
