二段階認証って何？パスワードだけにしないログインの基本

ログインの設定で見かける「二段階認証」「2FA」。まずは、パスワードだけに頼らず、本人か確かめる材料を追加することと考えてみよう。

この記事の目標は、認証の方法と、端末を失ったときの備えを分けて理解すること。ここではGitHubの公式資料を具体例にするけれど、実際の画面や選べる方法はサービスごとに確認してね。

パスワードと、もう一つの確認

パスワードは、利用者が知っている情報を使う確認方法。二要素認証では、それとは別の種類の材料も組み合わせる。

たとえば、手元の認証アプリやセキュリティキーなど、持っているものを使う方法がある。画面で確認を二回することと、異なる種類の要素を組み合わせることは、厳密には同じ意味ではないよ。サービスで「二段階認証」と呼ばれている設定も、対応する方式を確かめよう。

よく見かける方法

サービスによってパスキーも選べる。パスキーはパスワードを使わないログインにも使われる仕組みで、単に「毎回追加で数字を入力する方法」と同じではない。ここでは、まず自分のサービスで選べる方法を確認するところから始めよう。

設定を始める前に、戻れる準備をする

端末をなくしたり買い替えたりすると、いつもの認証方法を使えなくなることがある。そのため、設定は「有効にするボタンを押す」だけでは終わらないよ。

1. 公式サイトや公式アプリから、正しいアカウントの設定を開く。
2. セキュリティや認証の項目で、現在の設定と選べる方法を確認する。
3. 利用する方式の条件、必要なアプリや機器を確認する。
4. 公式の手順に従って登録し、確認の操作まで完了する。
5. 予備の認証方法や、回復に使う手段を用意する。
6. 回復手段の保管場所を確認してから、端末の移行などを進める。

GitHubなら、公式の二要素認証と回復方法の資料を確認しながら進めよう。この記事では読者のアカウントの有効化やログアウトを自動では行わない。画面の手順は公式案内に合わせてね。

回復コードも、秘密情報として保管する

回復コードは、通常の認証方法を使えなくなったときにアカウントへ戻るためのコード。使い捨てのものがあり、新しく発行すると以前のものが無効になるサービスもある。

GitHubの公式資料では、回復コードを共有せず、安全なパスワード管理ツールなどで保管するよう案内されている。コードをチャットへ貼ったり、記事のスクリーンショットへ入れたり、Gitへ保存したりしないでね。

設定前後の確認シートには、認証方法と回復手段を確認する項目だけを用意している。実際のパスワードやコードを書く欄はないよ。

二段階認証を設定しても確認は続く

認証の仕組みを増やしても、偽のログイン画面へ入力したり、ログイン済みの状態を悪用されたりする問題がすべてなくなるわけではない。方式によって守れる範囲も違うので、正しいURL、端末の管理、サービスからの通知も合わせて確認しよう。

URLの見方はドメインとサーバーの入門へ。サービスへ登録する秘密情報と公開設定の違いは、SecretsとVariablesでも整理しているよ。