昨年末から、Googleアカウントが乗っ取られるニュースがでてきてますね。
Googleアカウントの利用はメールなどにとどまらず、ショッピングサイトの認証メールアドレスに使われたりと、もはや生活する上での基盤インフラとなっている方も多いと思います。
こんな状態でパスワードを盗みとられたときにはもう大変です。そのような乗っ取りに対処するため、Google ではアカウントの 2段階認証を提供しています。
でも、この 2段階認証がどのような仕組みなのか、実際何をする必要があるのかちょっとわかりにくいかなと...
ここでは、この Googleアカウント 2段階認証の仕組みを解説したいと思います。
Googleアカウント２段階認証の流れ
"2段階認証" というからには、通常のパスワード入力による 1回だけの認証ではなく、もう 1回認証を行い、合計で 2回の認証が発生することになります。
Googleアカウント 2段階認証を設定したあとのログイン手順は以下のとおりです。
- 通常のパスワードを入力する
- 携帯端末で確認コードを受け取り、そのコードを入力する
- ログイン成功！
screen shot: www.google.com
通常は上の ① の入力でログイン完了ですね。しかし、2段階認証を設定した場合はこれで終わらず、さらに ② の追加コードの入力が求められます。
* iPhoneで ② の追加コード入力を求められた画面の例
また、この ② の追加コードはその場限り (正確には 1分間のみ有効) のコードです。こうすることで、通常のパスワードだけを盗まれてもさらに追加のコードを求められるようになり、そのコードは特定の端末からしか得られないため、この端末を入手できなければほぼログインは不可能になります。
２段階認証のコードを受け取る方法
上の流れから見るとおわかりの通り、2回目の確認コードを受け取るためには携帯端末が必要です。
受け取る方法は、以下 3つあります。
- スマホ端末 (Android端末, iPhone/iPod touch/iPad, BlackBerry端末) にインストールされている認証コード発行アプリ
- 携帯電話の SMS
- あらかじめパソコンで入手したバックアップ用のコード
「a. スマホ端末にインストールされている認証コード発行アプリ」を利用する場合、登録できる端末は 1つだけです。
* iPhoneの "Google認証システム" アプリでの確認コード発行画面例
a. が手軽で良いですが、このスマホ端末を持っていない場合は b. が良いでしょう。c. は携帯端末を利用できない場所への外出時や、何らかの理由で携帯端末が使用できなくなったときに必要になります。Google サイトの案内にもあるように、あらかじめ印刷して財布にでも保管しておきましょう。
信頼済みの端末は 2段階認証をしない設定にすることも可能
2段階認証にしてセキュリティを強固なものにしても、いつも使うパソコンや携帯端末でいちいち使うたびに 2回パスワードを入力するのはメンドクサイですよね。
また、その利用パソコン/携帯端末が自分専用で自由に使えない設定としている場合は、そもそもその端末の利用に 2段階認証を設定する必要はあまりありません。
そんなときは、そのパソコンや携帯端末を "信頼できるパソコン" と登録することで 2段階認証を省略することができます。
このような方法で、「Google の 2段階認証を実施することで操作がすべてめんどくさくなってしまう」ということを避けています。
2段階認証にアプリが対応していない場合
ブラウザでのログインや 2段階認証に対応しているアプリは、Googleアカウントに 2段階認証を設定すると、これまで紹介したような動作をします。
しかし、アプリの中にはこの 2段階認証に対応していないものもあります。Googleカレンダーと同期するカレンダーアプリや、Googleリーダーと同期する RSSリーダーアプリなどがその代表です。 (一般的な Google からリリースされていないアプリは、ほぼ対応していないと考えたほうが良いでしょう。)
その場合は、ブラウザ経由で Googleアカウントの 2段階認証編集画面に移動し、そこから "アプリケーション固有のパスワード" を入手します。
* "アプリケーション固有のパスワード" 生成画面
そして、その "アプリケーション固有のパスワード" を通常のログイン画面のパスワードに入力することでログインすることができます。一度このコードを入力すると、今後入力する必要はありません。
Googleアカウント 2段階認証を設定後に "アプリケーション固有のパスワード" を使うときの認証の流れは以下です。
- アプリで Googleアカウントログイン画面に移動する (この時点で、これまで使用していた通常のログインパスワードを入力してもログインできません)
- ブラウザから Googleアカウント 2段階認証の編集画面に移動し、 "アプリケーション固有のパスワード" を入手する
- 入手した "アプリケーション固有のパスワード" を、アプリログイン画面のパスワード箇所に入力する
- ログイン成功！
この "アプリケーション固有のパスワード" は名前の通りアプリごとに異なるパスワードを生成して入力しますので、2段階認証を設定していないときよりはかなりセキュリティは強くなるでしょう、
あとがき
まとめると、Google 2段階認証のポイントは以下のようになります。
- 通常のパスワードに加え、携帯端末を通して得たその場限りの確認コードを入力して認証する
- 信頼済みの端末としてパソコンや携帯端末を登録すると、2段階認証を省略できる
- 2段階認証に対応していないアプリは、アプリごとに固有のパスワードを生成して入力する
2段階認証と聞くとめんどくさく感じますが、信頼済み端末の登録などを上手く使うとそれほど手間とはならないでしょう。
2段階認証を設定すれば、不特定のパソコンからの手当たり次第のパスワード認証アタックはほぼ確実に防ぐことができます。
Googleアカウントを乗っ取られたときのリスクを考えれば、これぐらいの手間は問題ないレベルだと思います。これらを理解して、2段階認証の設定をしましょう！
コメント