パソコンで2FAコードを使う:メリット、リスク、安全な習慣

パソコンで2FAコードを使う理由は？

ほとんどの人は、サイトが2要素コードを求めるたびにスマートフォンを手に取ります。それでも動作しますが、ログインのたびに手間が1つ増えます。コードをパソコンに置いておけば、その摩擦がなくなります。コードはサインイン中の同じ画面に表示され、デバイスを探し回る必要がありません。

デスクトップ認証アプリやブラウザ拡張機能は、スマホアプリと同じように、これらのTOTPコードをローカルで生成します。秘密鍵はマシン内に留まり、表示されるのは短命のコードだけです。

パソコンにコードがあれば、スマホがこんな状態でも助かります:

• 別の部屋で充電中
• どこに置いたか分からない、またはバッグの底に埋もれている
• 単純に手の届かないところにある

コピーペーストも、もうひとつの地味な利点です。コードは長くて小さな画面では読みにくく、1桁でも打ち間違えると最初からやり直しになります。コードを選択して貼り付けるのは一瞬で、サインイン失敗の最も一般的な原因を取り除きます。

デスクトップ認証アプリとブラウザベースの2FAの仕組み

デスクトップ認証アプリは、スマートフォンアプリとまったく同じことを行います。セットアップ時にQRコードをスキャンすると、アプリは共有シークレット(あなたとサービスだけが知る文字列)を保存します。以降、アプリはそのシークレットと現在時刻を組み合わせて、ローカルで新しいコードを生成します。インターネット接続は不要です。

ブラウザ拡張機能とパスワードマネージャー

多くのパスワードマネージャーやブラウザ拡張機能も2FAに対応できます。同じ共有シークレットを保存し、現在のコードを表示するか、ログインフォームに自動入力します。コードがパスワードと一緒に届くため便利です。

時間ベースのコード

ほとんどのコードはTOTP標準に従います。各コードは短い時間(通常30秒)だけ有効で、その後失効します。生成はデバイス上で行われるため、コードそのものがネットワークを流れることはなく、入力する最終的な答えだけが送信されます。

コードをPCに保存することの主なリスク

コンピュータはすべてを一箇所に保管します。攻撃者にアクセスされると、保存された2FAシークレットが一度にすべて漏洩します — 1つのアカウントだけでなく、すべてです。

マルウェアとキーロガー

悪意のあるソフトウェアは、クリップボードの監視、キーストロークの記録、スクリーンショットの撮影ができます。ログインフォームに貼り付けるためにコードをコピーすると、そのコードはマシンを監視するあらゆるものに渡ってしまいます。マルウェアの中には、認証アプリのストレージから基となるシークレットを直接読み取れるものさえあります。

共有コンピュータ

そのマシンを使う他の誰もが、同じ認証アプリやブラウザプロファイルを開ける可能性があります。保存されたコードのプライバシーは、アクセスできる中で最も信頼できない人と同じレベルまでしか保たれません。

ブラウザベースの2FAとクラウド同期

ブラウザ拡張機能は、多くの場合ブラウザベンダーのクラウドを通じてコードを同期します。これにより信頼チェーンに第三者が加わります。あなたのセキュリティは、そのアカウント、そのパスワード、そしてその2FAが無事であることにも依存するようになります。

共有コンピューター:特別なケース

共有または公開されているコンピューター(図書館のPC、ホテルのビジネスセンター、友人のノートPCなど)は、信頼できないものとして扱ってください。どのようなソフトウェアが動作しているのか、自分より前に誰が使ったのかを知ることはできません。このようなマシンに2FAコード、認証アプリ、保存済みセッションを保存してはいけません。

自分が管理していないブラウザーにシークレットを保存しない

自分のものではないブラウザープロファイルは、パスワード、Cookie、TOTPシークレットを他人のアカウントへ同期している可能性があります。サイトが「このデバイスを記憶する」と提案してきたら、断ってください。共有ブラウザーでログインすると、次の利用者のためにアカウントを開いたままにするセッションCookieが残ることもあります。

やむを得ず使う場合

コードは自分のスマートフォンで生成し、コンピューター側で手入力してください。キーロガーがすべてのキー入力を記録していると想定し、可能であればパスワードの入力自体を避けてください。使い終わったら、すべてのアカウントからサインアウトし、すべてのブラウザーウィンドウを閉じ、ブラウジングデータの消去オプションがあれば実行してください。

デバイスセキュリティの良い習慣

OSと認証アプリは常に最新に保つこと。アップデートは既知のセキュリティホールを塞ぐ。攻撃者が狙うのはまさにその穴だ。自動アップデートを有効にし、忘れっぽさに依存しないようにしよう。

2FAコードを保存するコンピュータには、強力なログインパスワードとフルディスク暗号化が必要。Windows、macOS、主要なLinuxディストリビューションにはディスク暗号化機能が標準で含まれる(BitLocker、FileVault、LUKS)。デバイスを紛失・盗難された場合も、暗号化により中のシークレットは読み取れないまま。

家の中でも、離席するときは必ず画面をロックすること。認証アプリの起動や設定変更は数秒で終わる。短めの自動ロック時間を設定し、保険にしよう。

最後に、2FAのシークレット自体をバックアップすること。ノートPCが死んでも全アカウントから締め出されるべきではない。オフライン保管の暗号化エクスポートを使うか、シードコードを書き留めて安全な場所に保管する。バックアップは一度復元テストをし、実際に機能するか確認すること。

コードをどこに置くかを選ぶ

スマホアプリが依然としてデフォルトです。別デバイス上のコードは、侵害されたコンピューターを生き延びます。ラップトップを手にした攻撃者が、自動的に第二要素を手にするわけではありません。

デスクトップ認証アプリは、信頼できる単一ユーザーのマシンに適しています。コンピューターが自分専用で、保存時に暗号化され、アイドル時にロックされ、ソフトウェアが最新に保たれているなら、ローカル保存は妥当な選択です。

パスワードマネージャーのコードは、少しの分離を利便性と引き換えにします。ワンタイムコードはパスワードと同じボールトに置かれるため、一つの侵害で両方が漏えいし得ます。それを容認するなら、強力なマスターパスワードでボールトを保護し、マネージャー自体にも2FAを有効にしてください。

複数ユーザーのマシンや拡張機能を多用する環境では、ブラウザーベースの2FAは避けてください。拡張機能はページの内容を読み取れますし、同じデバイス上の追加アカウントは攻撃対象領域を広げます。

要するに: 分離はスマホに、利便性はデスクトップにあります。どちらを手放すのかを自覚してください。

バックアップと復旧の習慣

リカバリーコードはオフラインで保管する

2FA を有効にすると、ほとんどのサービスはリカバリーコードを提供します。これは認証アプリを失った場合に使えるワンタイムパスワードです。紙に書くか安全な物理的な場所に保管し、同じコンピューター上に平文ファイルとして保存してはいけません。そのマシンが盗まれたり、ウイルスに感染したり、単に故障したりすると、そこに保存されたコードも一緒に失われます。

第二の方法を登録する

サービスが許可している場合は、複数の 2FA 方法を登録しましょう。例えば認証アプリに加えてハードウェアキーなどです。片方の方法が失敗したり利用できなくなったりしても、もう片方でログインできます。

必要になる前に復旧をテストする

一度もテストしたことのないバックアップは、単なる推測にすぎません。設定後、サインアウトしてからリカバリーコードまたは第二の方法を使って再度サインインしてみましょう。デバイスを変更したりスマートフォンを買い替えたりしたときは、そのたびに繰り返してください。ロックアウト中にバックアップが機能しないことに気づくほど最悪のタイミングはありません。

切り替え前の簡易チェックリスト

コードをパソコンに移す前に、以下の点を確認してください:

• 信頼でき、暗号化された、自分専用の端末か? ディスク全体の暗号化を有効にし、強力なログインパスワードを設定し、自分だけが使う端末であること。この場合はデスクトップ認証アプリが妥当な選択です。
• 共有または公開端末か? やめましょう。コードはスマートフォンに置いておいてください — 常に身につけており、すぐロックでき、他人が触らない端末です。
• リカバリーコードはオフラインで保管したか? 印刷または書き写して安全な場所に保管し、同じパソコンのファイルには保存しないこと。はいなら、デスクトップコードを有効にする準備ができています。

一つでも「いいえ」があれば、まずそこを修正してください。順番が重要です: 端末を保護し、リカバリーを計画し、それからコードを移します。

どの端末を選んでも、目的は変わりません: サインイン時に実際に使える第二要素を持つことです。日常のルーティンに合うものを選び、ハードウェアや生活状況が変わったら設定を見直してください。