プライベート写真を守る5つの方法

iCloudからセレブの写真が流出した事件は、まだ記憶に新しいはず。一般のユーザーであっても、2段階認証は設定しておきましょう。その5つのオプションを紹介します。

angryg_1280x840

昨年大いに世間をにぎわせたセレブのヌード写真流出事件を覚えていますか？このニュースは人々の関心を大いに引いただけでなく、大変ためになる事例でもありました。

たとえば、ペットの名前が最も安全なパスワードではないことに気付いた人は大勢いることでしょう。また、2段階認証がITオタク専用ではなく、ラインストーンでデコられたiPhoneの利用者にも有効な対策なのだと知った人も。

話題となった写真の流出元は、Appleデバイスで作成した画像の保存場所であるiCloudサービスでした。iCloudに侵入したハッカーの手法は非常に単純で、フィッシングと総当たり攻撃を組み合わせていました。Appleは汚名返上と利用者保護のため、iCloudに2段階認証を導入するとともに、常にこの認証方法を使用するよう利用者に呼びかけました。

しかし、iCloudの2段階認証は、GmailやFacebookのような多くのWebサービスと同じで、オプションにすぎません。大半の利用者は面倒だからと設定を有効にせず、セレブに至ってはそうした時間もありません。

もっとも、キム・カーダシアンやケイト・アプトンでなくとも、メールやSNSのプロフィール管理は誰でも手抜きしがちです。特にインターネット関連企業の社員であれば、その代償は破滅的です。

施錠は1つよりも2つ

2段階認証といえばシステムからワンタイムパスワードがテキストメッセージで送られてくるアレ、と思っている人が多いかもしれません。確かに、Webサービスで最も多く採用されている方式ではありますが、それ以外にもさまざまあります。

一般的に、2段階認証は2つの錠前が付いたドアのようなものです。1つ目はログインIDとパスワードを組み合わせた従来の方式、2つ目はその他の認証方式が採用されます。錠前が2つでは足りないという人は、好きなだけ追加できますが、ドアを開けるまでに時間がかかるため、まずは錠前2つから始めるのが良いでしょう。

SMS経由でパスワードが送信される方法はわかりやすく、信頼性も高めですが、必ずしも便利というわけではありません。サービスにアクセスしようと思ったら、まず手元に携帯電話を用意し、SMSが届くのを待ってからコードを入力しなければなりません。

入力を間違えた場合や、すぐに入力しなかった場合は、手順をやり直しです。通信事業者のネットワークが混雑していると、SMSが届くまで時間がかかります。私なら本当にイライラしてしまいます。

サービスエリアの圏外では（旅行中によくあります）、パスワードが届きません。携帯電話を紛失し、他の通信手段を使えないような事態ともなれば、イライラはさらに増します。

こうした状況でも対応できるよう、FacebookやGoogleなど多くのWebサービスでは他のオプションが用意されています。ワンタイムキーのリストもその1つで、事前にリストを入手し、印刷して安全な場所に保管できます。

さらに、SMS経由でワンタイムパスワードが送信されるタイプの2段階認証は、常に有効にすることも、誰かが不明なデバイスからログインしたときだけ有効にすることもできます。どちらにするかは利用者次第なので、不安の度合いに応じて選ぶとよいでしょう。この仕組みは、メールクライアントなど、アカウントに紐づけられたアプリでも同じです。特別に生成されたパスワードを一度入力すれば、当分は何もする必要がありません。

その意味で、毎日新しいデバイスからログインするのでなければ、SMS対応の2段階認証はそれほど面倒ではありません。一度設定すればOKです。

スマートフォンのID

外出がちな人には、専用アプリで2段階認証を導入するのが一番スマートでしょう。SMSとは違い、これならオフラインでも認証機能を利用できます。ワンタイムパスワードはサーバー側ではなくスマートフォン側で生成されます（ただし初期設定はインターネットに接続する必要があります）。

認証アプリはいくらでもありますが、Google Authenticatorは間違いなく業界標準になっています。このアプリは、Gmail以外にもFacebook、Tumblr、Dropbox、vk.com、Wordpress、その他さまざまなサービス（英語）に対応します。

豊富な機能をお求めの方には、Twilio Authy（英語）をお勧めします。Google Authenticatorに似ていますが、便利なオプション機能があります。

1つは、証明書をクラウドに保存し、他のデバイス（スマートフォン、PC、タブレット、Apple Watchなどのさまざまなプラットフォーム）にコピーできる機能です。デバイスが盗難に遭った場合も、アカウントを管理できます。アプリを起動するたびに暗証番号を入力する必要がありますが、デバイスに何かあった場合はキーを無効にできます。

もう1つは、新しいデバイスを使い始めてすぐに認証を採用できる点で、Google Authenticatorにはない機能です。

1つの鍵ですべてを管理

認証ソリューションには、大きな欠陥が1つあります。SMSでワンタイムパスワードを受信するデバイス、または2段階認証キーの生成アプリをインストールしているデバイスが、ログインするデバイスと同じ場合、保護の効果は少し落ちるのです。

より高い保護を実現するのが、ハードウェアトークンです。USBトークン、スマートカード、デジタルディスプレイ付きオフライントークンなど、形やフォームファクタは異なりますが、基本原理はどれも同じで、要はワンタイムキーをオンデマンドで生成するミニコンピューターです。キーは、たとえばUSBインターフェイスを通じて手入力または自動入力されます。

こうしたハードウェアキーは、サービスエリアや携帯電話やその他諸々の要素に依存せず、単独で機能します。しかし、別途購入しなければならず、人によってはこの小さなガジェットを失くさずにいるのが難しいかもしれません。

通常、こうしたキーはWebバンキングサービスや企業システムなどの重要な情報の保護に利用されます。他にも、オープンスタンダードのFIDO U2F（英語）規格に対応したUSBスティック（YubiKeyトークンなど）を使って、GoogleやWordPressのアカウントをスマートに保護することもできます。

埋め込みチップで認証

これまでのハードウェアキーは、高いセキュリティを提供する一方で、使い勝手があまりよくありませんでした。オンラインサービスを利用するたびにUSBドライブを挿入するのは面倒ですし、スマートフォンに挿し込めないので嫌気がさすかもしれません。

これがBluetoothやNFCなど介したワイヤレスキーであれば、はるかに簡単に扱えます。ちなみに、これは今夏発表された新しいFIDO U2F（英語）規格では可能です。

正規ユーザーを特定するためのタグは、キーホルダーでも銀行カードでも、果ては皮膚の下に埋め込んだNFCチップでも、どんなものにでも実装できます。スマートフォンならこのキーの読み取りに対応しており、ユーザーを認証できます。

多要素で認証する未来

しかし、2段階認証のコンセプト自体はすでに過去のものです。Googleや（微妙ですが）Facebookなどの大手サービスは、多要素解析を利用して最終的なアクセス保護を実現しています。この方法では、ログインに使うデバイスやブラウザーのほか、位置情報や使用パターンなどが検証されます。金融機関でも同じようなシステムで不正な活動を特定しています。

今後は、利便性と安全性のバランスがとれた高度な多要素認証が利用されるようになるでしょう。この方式の良い例が、先日のGoogle I/Oカンファレンスで発表されたProject Abacusです。

来たる現実では、パスワードだけでなく、位置情報、最近の活動、言葉遣い、呼吸、心臓の鼓動、サイバー装具の有無などの要素の集合体がIDとして認証されるでしょう。これら要素を認識して認証するデバイスは、予想どおり、スマートフォンだと考えられます。

一例を挙げましょう。スイスの研究者は、認証の要素に周囲のノイズを使用しています（英語記事）。

このコンセプト（研究者はサウンドプルーフと呼んでいます）の背景にあるアイデアは、非常にシンプルです。コンピューターからあるサービスへアクセスしようとすると、スマートフォンにインストールされたアプリに対してサーバーからリクエストが送信されます。続いて、コンピューターとスマートフォンは周囲のノイズを録音し、デジタル署名に変換し、暗号化してからサーバーに送信し、分析を待ちます。両者が一致すれば、正規ユーザーがアカウントにアクセスしている証拠となるわけです。

もちろん、これが理想的な方法というわけではありません。もしもレストランで隣席に犯罪者がいたらどうなるのでしょうか。周囲のノイズは、ほぼ似たようなものです。ですから、アカウントに侵入されないためにも別の要素を付け加える必要があります。

結局のところ、サウンドプルーフもProject Abacusも未来のセキュリティです。商用化される頃には、情報セキュリティの脅威や課題も同じく進化しているでしょう。

現時点での対策は、2段階認証を必ず有効にすることです。大半の人気サービスでの設定方法は、Telesign Turn It On（英語）などのWebサイトに解説があります。

ヒント
新着記事をメールでお知らせします