素人ながらに証券会社のセキュリティ問題について時々考えている当ブログ。
最近落ち着いてきたと思った矢先、また新たな燃料が投下されました。現状セキュリティ的に最強と思われていたパスキーですが、パスキーの保管サービス（Apple, Google等）の守りが甘いと安心できないよねっていう話の模様。
SBI証券が注意喚起して話題になりました。
GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください SBI証券
それを踏まえて大手配信者が セキュリティキー、通称 物理キー、商品名「ユビキー」を導入したよとつぶやいていました。見に行ったらプチバズっていてAmazon品切れ中www
紹介されていたベーシックな機種なら 定価 5,900円。お高い上位機種や転売価格にご注意ください。まあそれくらいの価格帯の製品です。資産を守れるなら全然あり。
Security Key C NFC｜セキュリティーキー C NFC | YubiKeyShop
一見良さげではあるけど見送った過去あり
以前私もユビキーを検討し、散々迷った挙句に導入を見送った経緯がありまして。
これを機にもう一度再評価してみました。
結論としては「導入してもいいけど、副作用もある、迷う」といったところ。
一番怖い副作用は「Appleアカウントから締め出されてしまう」です。
FAQ: これは何？
業界標準規格に対応した物理デバイス。
- パスキーの物理的な保存庫にできる。
- 2段階認証の物理キーとして使える。
PCやスマホのUSBに差したり、かざしたりして使う。
物理キーであるメリットは、物が必要なのでフィッシングに強い。認証コードを騙し取れない。認証コードを入力したサイトが実は詐欺師の偽サイトだったりなんてことがない。これは厳しくする方向の利用法。
それと別にオンライン型のパスキー保管庫サービスからbanされるなどして締め出される恐れへの備え。もう一つの裏口、自分で物として保有する保管庫とする利用法です。入口を増やす方向なのでセキュリティは強まりません。
FAQ: 物理デバイスだと不便じゃね？
何に設定するかによる。
2段階認証やパスキーを求められるシーンを思い出してみてください。
今回話題のパスワード・パスキーの保管サービス（AppleやGoogle）の守りとして使うというなら、Apple ID ログインなどセキュリティ関連の限られた操作で要求されます。ほとんどの通常使用では求められません。
ですので日常生活圏内なら物理キーを持ち歩かなくても良さそう。仮に持ち歩くにしても超小型USBメモリくらいのサイズで苦にはならない大きさ。
それとは別に、証券会社など各種ログインのパスキーや2段階認証を物理キーに任せることもできます。この場合は携帯した方が便利かも。
もちろんそのサービスが対応している必要ありです。SBI証券、楽天証券は試したら使えたという報告があります。
SBI証券のパスキーはYubiKeyで使える｜実機検証 - 城咲子｜情報システム部セキュリティ担当のつぶやき（ぼやき）
とはいえ従来通り、個別サービス系は今使っているパスワード・パスキーの保管サービスをそのまま使うのもありです。適切に設定されていれば十分なセキュリティーは確保されていますので。
今日の話の本題としては前者。せっかく証券会社にパスキー設定してAppleやGoogleに保管しているのに、AppleやGoogleの守りがお留守だと困る。
少しでも強化するためにユビキーのような物理キーを使おう。フィッシング耐性バッチリ！というのが今日の本筋です。
守りが強すぎて締め出される恐れも
じゃあ物理キー最強じゃんってな感じですが
ここまでいいことを書いてきたけど欠点もありまして。
例えばAppleの場合、セキュリティキー（物理キー、ユビキー）設定の後。信頼できるデバイス（ログイン済の iPhone, iPad。セキュリティキーの代用となる）とセキュリティキーをすべて失うとアカウントに入れなくなる。そうAppleの公式ヘルプに注意書きがあります。多分二度と戻ってこない……forever
セキュリティキーはご自身で責任を持って管理してください。信頼できるデバイスとセキュリティキーをすべてなくしてしまうと、アカウントから完全にロックアウトされてしまいます。
Apple Accountのセキュリティキーについて - Apple サポート (日本)
たとえば「自宅が火事でユビキーとApple端末は全部燃えてしまった」という場合がそれ。レアだけど起こりうる。火事、地震、津波も。*1
物理キーをどこに保管するか？それが問題だ
なのでAppleはセキュリティーキーを2本用意して登録することを必須にしています。
保管場所を1本は自宅、もう1本は自宅「外」の安全などこかにするといいらしい。
自宅外？これ結構難しくね？wwww
隣町の親族宅とかだと天災時に一蓮托生感あるし。
というのが私的に最大の引っかかりポイント。
（余談）むしろ物理キーを設定しない通常モードの方が良い希ガス
ちなみにAppleアカウントに物理キーを設定していなければ、まだ可能性はあります。Appleに登録している電話番号の電話会社にSIM再発行してもらって、新たに用意した別のiPhoneにそのSIMを登録して…と進めていけば復旧への道は残されている模様。
泥酔してスマホよく失くす人いますよね。彼らが詳しそうなので話しを聞きたい。（未体験ゾーン）
そんな葛藤があって、結局ユビキーをポチらず保留としたのでした
なんでこうなるかというと、セキュリティを高めるために「よりセキュアでない」手段を封鎖しがちだから。一番厳しい物理キーを設定しても、ガバガバな方を残しといたらそっち狙われますからね。それじゃ意味ない。
そうしてセキュリティが高い方がアクシデントでコケると詰むという。
セキュリティ高いに越したことはないけど、だからと言って完全にロックアウトも困るのよね。落とし所むずかしい……
*1:天災だけでも災難なのに、Appleアカウントもとか、まさに踏んだり蹴ったり。さらにアカウント残高に高額置いてあったりしたら泣くに泣けないよ。
