スマホで手軽に2段階認証、かざして使えるセキュリティキー「ePass FIDO-NFC」

NFC対応のセキュリティキー「ePass FIDO-NFC Security Key」

　ちょうど2年前の2014年11月に、USBセキュリティキー「FIDO U2F SECURITY KEY」を導入していた筆者（※関連記事）。Googleサービスなどへのログイン時、2段階認証を行なうためにパソコンのUSBポートに差し込んで使うもので、一般的な2段階認証で必要になるワンタイムパスワードの入力を省けるのが特徴だ。

以前購入したFIDO U2F SECURITY KEY（右上）と比べると、微妙に小さくなっているようだ

　FIDO U2Fと呼ばれるセキュリティ標準を採用したセキュリティキーが、少しずつ進化している。2年前はUSBポートに差し込むタイプしかなかったのが、近頃はBluetoothやNFCも利用可能なタイプが登場。さまざまなデバイスで多くのクラウドサービスにアクセスするマルチウィンドウの時代に、USBのみのセキュリティキーだけではそろそろカバーしきれないのではないか。そんな思いから、NFCにも対応する新しい「ePass FIDO-NFC Security Key」へアップグレードしてみた。

Amazon.co.jpで注文すると、この小さなパッケージで届いた

USBメモリ風の形状

　NFC対応とはいっても、パソコンで使う分にはこれまでのUSBセキュリティキーと使い勝手は全く変わらない。たとえばGoogleサービスでは、Google アカウントのページで「ログインとセキュリティ」の「2段階認証プロセス」設定画面を開き、「セキュリティキーを追加」するだけ。画面の指示に従って、パソコンのUSBポートにセキュリティキーを差し込み、金色のリング部分をタッチすればGoogleアカウントとのひも付けはあっさり完了する。

Google アカウントの2段階認証設定で、セキュリティキーを追加

USB接続して金色のリングを押し込めばGoogleの自分のアカウントにひも付けられる

　Googleサービスへのログイン時には、セキュリティキー（ePass FIDO-NFC）を要求された時だけパソコンにUSB接続すればOK。パソコンとともに持ち歩かないとならない、というのは面倒に思うかもしれないが、これまで家の鍵などと一緒にキーケースに入れて携帯していた筆者としては、大変だと感じたことは一度もないのが正直なところだ。

　さて、気になるのはNFC対応の部分。しかし実は、今のところNFCによる「かざす」アクションで2段階認証を利用できるサービスは（少なくとも個人ユーザーレベルでは）ほとんどない。FIDO U2Fに対応しているサービスは、今のところGoogle、Dropbox、GitHubなどの限られたもののみで、そのなかでNFCによる認証に対応しているのはGitHubのみ。

GitHubの2段階認証設定。まずはパソコン側でePass FIDO-NFCをUSB接続してセキュリティキーの登録を行なう

パソコンで登録すると、スマートフォンでログインする時にもセキュリティキーが使えるようになる（事前に「Google 認証システム」アプリのインストールも必要）

　GitHubで利用する際にも、最初にパソコン側でワンタイムパスワードの設定をしてから、ワンタイムパスワード発行用の「Google 認証システム（Google Authenticator）」をスマートフォンにインストールして、パソコン側でePass FIDO-NFCを登録する、というちょっと回りくどい準備が必要だ。

　なお、GoogleとDropboxでは、NFC搭載のスマートフォンであっても、通常のセキュリティコードを入力する2段階認証となる。それ以外のNFC対応セキュリティキーの使い道としては、Android OS自体がもつSmart Lock機能でNFCを利用するよう指定して、端末ロックを解除する、というもの。ただ、この場合はePass FIDO-NFCを単に端末ロック解除用のNFCタグとして使っているようなもので、わざわざFIDO U2F準拠のセキュリティキーを使う意味はあまりない。

AndroidのSmart Lockの設定

NFCを選択し、端末にePass FIDO-NFCをかざす

認識されたら名前を付けて登録。それ以降は端末にかざすだけでロック解除できる。が、これはNFCタグとして使っているだけなので、FIDO U2F準拠である意味はない

　2年前はGoogleサービス以外にも広がることを期待していたセキュリティキーだが、たしかにDropboxなど他のサービスでも利用できるようになったものの、思っていたほどではなかった。さらにNFC対応という意味では、まだ製品が出始めたばかりということもあり、やはりまだまだこれから、というところなのだろう。多くのクラウドサービスが存在し、情報漏洩やフィッシングなどの危険性がますます高まるなか、こういったセキュリティを高めるソリューションがなかなか広がらないのはもどかしい限りだ。