認証アプリとアプリパスワードの仕組みと使いどころ

認証アプリは、一般にTOTPと呼ばれる、時間ベースのワンタイムパスワードを生成します。アプリを使った二要素認証を有効にすると、サービスがQRコードを表示します。このコードには秘密鍵が含まれており、読み取るとその鍵の複製がアプリの中に保存されます。それ以降、サービスとスマートフォンは同じ秘密を共有し、その秘密が再びネットワーク上を移動する必要はありません。

コードを作るとき、アプリは秘密鍵と現在の時刻を組み合わせます。時刻は通常は30秒の短い区間に丸められ、その結果を標準的な暗号関数に通して、出力を短い数字、通常は6桁に切り詰めます。サーバー側でも同じ計算を行い、二つの結果を比べます。双方に必要なのは秘密と時計だけなので、アプリはモバイルデータやWi-Fiがなくても動作します。

この仕組みから、最もよくあるトラブルも説明できます。正しく入力したのにコードが拒否される場合です。スマートフォンの時計がずれていると、誤った時間区間のコードを計算してしまいます。日付と時刻を自動更新に設定すれば、たいてい解決しますし、アプリによっては時刻補正のオプションもあります。

標準的なTOTP方式に対応したアプリなら、ほとんどのサービスで使えます。そのため、本当の選択基準は、アプリが秘密情報をどう扱うかです。大手プラットフォーム企業は自社のアプリ、たとえばGoogle AuthenticatorやMicrosoft Authenticatorを提供しており、多くのパスワードマネージャーもTOTPコードを保管できます。

コードをバックアップまたはエクスポートする方法があるか、確認してください。一台のスマートフォンにしか保持しないアプリでは、端末の紛失がそのまま締め出しにつながります。アプリがクラウドアカウントに同期する場合は、そのアカウント自体をしっかり保護し、バックアップを暗号化するアプリを選びましょう。指紋、顔、PINによるアプリロックがあれば、ロック解除済みの端末を誰かに手に取られた場合にも、保護が一段加わります。

認証アプリの中には、自社のアカウントに限り、コードを入力する代わりにタップでサインインを承認するプッシュ承認を備えたものもあります。便利ですが、使えるのはそのプロバイダーだけです。ほかのすべてのサービスでは、標準的なコード生成アプリとして動作します。

アカウントのセキュリティ設定で、認証アプリを設定するオプションを選びます。アプリでQRコードを読み取るか、読み取れない場合はセットアップキーを手で入力します。その後サービスが、設定できたことを確認するために現在のコードを求めます。この手順は飛ばさず、コードが受け付けられるまでページを閉じないでください。

アプリが対応していれば、各エントリーにわかりやすい名前を付けましょう。特に、同じサービスで複数のアカウントを管理している場合です。ブランド名しか表示されないエントリーは別のものと混同しやすく、間違ったエントリーを削除すると、締め出されるおそれがあります。

サービスが提示するバックアップコードや復旧コードも、同時に保存してください。認証アプリの入ったスマートフォンを、コードのバックアップを取る前になくしてしまった場合でも、これらがいちばん簡単に復帰できる手段になります。

最も安全なルールは単純です。古いスマートフォンがまだ使えるうちに、新しいスマートフォンを設定してください。すべてのコードを移して動作を確認するまで、古い端末を初期化したり、売ったり、下取りに出したりしないでください。

多くの認証アプリには、転送やエクスポートの機能があり、古いスマートフォンに一つまたは複数のQRコードを表示して、新しいスマートフォンで読み取らせます。新しい端末でサインインしたときに、暗号化されたクラウドバックアップからエントリーを復元するアプリもあります。移行後は、いくつかのアカウントに新しいコードでサインインし、一致することを確認しましょう。

アプリに転送機能がない場合は、アカウントを一つずつ移します。各サービスにサインインして二要素認証の設定を開き、認証アプリの追加または変更を選び、新しいスマートフォンで新しいQRコードを読み取ってコードを確認します。多くのサービスでは、秘密が置き換わると古いエントリーは使えなくなるため、混乱を避けるために、あとで削除してください。途中で問題が起きたときに備え、移行中はバックアップコードを手元に置いておきましょう。

アプリパスワードは、長くランダムに生成されたパスワードで、特定のアプリやデバイスが、二要素認証を経ずにアカウントへサインインできるようにするものです。ユーザー名とパスワードしか理解できず、コードの入力画面もサインインページも開けない古いソフトのために存在します。

Google、Microsoft、Yahooなどのアカウントでは、アカウントのセキュリティ設定からアプリパスワードを作成できます。ほとんどの場合、2段階認証を有効にしてからでないと作れません。職場や学校の一部のアカウントや、最も厳格なセキュリティプログラムに登録されたアカウントなど、種類によっては利用できないこともあります。通常、アプリパスワードが表示されるのは作成時の一度きりなので、すぐにアプリへ貼り付けてください。

アプリパスワードは第二要素を省略するため、保護対象のメールボックスへの完全なパスワードと同じように扱ってください。アプリやデバイスごとに別のものを作成し、サービスが対応していればわかりやすい名前を付け、ほかでは決して再利用しないでください。

最近のメールアプリは、二要素認証を直接処理するブラウザー形式のサインインウィンドウを通じて、大手プロバイダーにサインインします。そのため、アプリパスワードは不要です。必要になるのは通常、IMAP、POP、SMTPの設定と単純なパスワード欄で、プログラムやデバイスが接続する場合です。古いデスクトップのメールクライアント、一部のモバイルメールアプリ、メールを送信するスキャナーやプリンター、バックアップツール、スクリプト、古いスマート機器などが該当します。

目安は、まず通常のサインインを試すことです。アプリがプロバイダー自身のサインインページを開くなら、それを使いましょう。サーバー設定しかなく、2段階認証を有効にしたあとで正しいパスワードが拒否され続けるなら、それがアプリパスワードを作成する合図です。通常のパスワードの代わりにそれを入力し、ほかの設定は変えません。

プロバイダーは、サードパーティー製アプリが単純なパスワードでサインインする方式から、利用者を遠ざけてきています。そのため、現在は動作するアプリパスワードも、のちにサポートされなくなるかもしれません。頼りにしているプログラムが接続できなくなったら、また新しいアプリパスワードを作る前に、新しいバージョンが最新のサインイン方式に対応していないか確認してください。

アカウントのセキュリティ設定で、アプリパスワードを時々見直し、使っていないものは取り消してください。特に、売却した端末やアンインストールしたプログラムのものは重要です。プロバイダーによっては、アプリパスワードを個別に一覧表示するところもあれば、まとめてしか削除できないところもあります。メインのパスワードを変更すると既存のアプリパスワードも無効になるサービスがあるので、その後に新しく作る準備をしておきましょう。

たとえばrStockのようなデジタル商品のマーケットプレイスで、他の人からメールアカウントを受け取った場合は、自分で作成していないアプリパスワードや認証アプリのエントリーを削除し、そのうえで自分の認証アプリを設定して、新しいバックアップコードを生成してください。rStockでは、納品された内容が注文に紐づく納品記録として注文ページに表示されるため、変更を始める前に詳細をパスワードマネージャーへコピーしておきましょう。入手したアカウントは、プロバイダーの利用規約に沿って使ってください。また、rStockは、Google、Microsoft、Yahooをはじめ、この記事に挙げたどのプロバイダーとも提携していません。

最後に、認証アプリ、バックアップコード、アプリパスワードは、できるだけ互いに離して保管してください。一台のスマートフォンの盗難や、一枚のメモの漏えいだけで、メールのすべての鍵が渡ってしまうことがあってはなりません。