Apple IDのセキュリティ設定 - いまさら聞けない！「Apple ID」の正しい使い方

前回はApple IDの取得と設定に関する注意事項について解説したが、今回はApple IDを安全に利用するためのセキュリティ設定について紹介しよう。

Apple IDを利用する上でのセキュリティ設定とは？

個人情報やさまざまなサービスと紐づけられているApple IDは、パスワードなどが流出すると大変危険だ。そんなApple IDだが、安全性を高めるための機能も提供されている。こうした機能を活用して、安全に運用しよう。

パスワードの強度はどのくらい必要？

インターネットにおけるパスワードは、自宅の鍵と同様、あるいはそれ以上重要な意味を持っている。ここで、パスワードに使う文字種の数やパスワードの長さというのは、パスワードの強度（破られにくさ）に直結する。例えば銀行のATMのように4文字の数字のみでは10の4乗＝1万通りしかないため、当てずっぽうでも3回試せば3,333分の1で解除できてしまう。ここにアルファベット（大文字小文字の区別あり）が混じれば、26通りx26通りx10通りの4乗＝676万通りにも膨れ上がる。

Apple IDでは、パスワードを作成する際に「英数字混在、英字は大文字と小文字混在で最小8文字」というルールがある。実際にはいくつかの記号も利用できるが、基本ルールに則れば、8文字のパスワードであっても「26文字（アルファベット小文字）x26文字（アルファベット大文字）x10文字（数字）の8乗＝67,600,000,000（676億）通り」ということで、簡単には破れないように見える。実際、このくらいあれば実用上は問題ないだろうが、気になる人は12～16文字くらいまで拡張してもいいだろう。

ただし、長いパスワードは覚えにくさも高まってしまう。そこで、覚えやすさを重視して、わかりやすい単語や日付、よく使われる数列（円周率など）を使うと、辞書を使った機械的な攻撃によってあっさり陥落したりするので、なるべく他人からは無意味な、しかし自分にとっては覚えやすい文字列の組み合わせを考えるといい。

「2ファクタ認証」でパスワードをより安全に

ネットサービスで使用するパスワードは「さまざまなサービスで同じパスワードを使わない」というのが鉄則だ。パスワードを使い回していると、どこか1つのサービスが侵入されてパスワードが流出してしまった場合、ほかのサービスでもそのパスワードを試されてしまう。特に最近はさまざまなサービス同士が連携しているため、芋づる式にさまざまなサービスで侵入を試され、気付いたらSNSのアカウントを乗っ取られたりすることになる。クレジットカード情報などを登録している場合は、より危険だ。

しかし、実際にはサービスごとにパスワードを変えていると、大量のパスワードを管理することになるため、現実としては、どんなに専門家が口を酸っぱくして説明しても、世の中の大半の方は1つか2つのパスワードをあちこちで使い回していることだと思われる（正直なところ、筆者も人のことは言えない）。また、あまり複雑で長いパスワードは覚えたり入力するのも大変だ。Face IDなどで代用は効くものの、再起動するたびに一度は手入力が必要なので、ある程度覚えやすいものにしたくなるのが人情だろう。

そこで、万が一パスワードがバレてしまっても、安全に運用できる仕組みが「2ファクタ認証」だ。

2ファクタ認証とは、パスワードに加えて「2つめの要素（ファクタ）」を用いて、パスワードを入力したのがアカウントの所有者本人であることを確認するものだ。イメージとしてはライブのチケットなどに本人確認のため、身分証の提示を求められるようなものだろうか。チケットは本物でも、買った人当人でなければ有効にならないことで、不正な入手（転売など）を防ぐわけだ。

Apple IDの場合は、どこかでApple IDでサインインしようとしてパスワードを入力すると、ほかのMacやiPhone上にパスワードを入力したことが表示されるので、その行為が自分の行ったものであると承認することで、はじめてパスワードが有効になってサービスを利用できる。自分が行っていないパスワード入力が試されたことがわかれば、パスワードを変更するなどの対策を施せるわけだ。

もちろん、自分が利用した覚えのないアクセスなのに、ダイアログをちゃんと読まずにとりあえず「承認」を押す、というのではせっかくの2ファクタ認証も役に立たないので、その点は注意したい。

2ファクタ認証を設定する

実は現在、新規にApple IDを作成する場合、2ファクタ認証は必須項目として組み込まれている。作成時に電話番号を聞かれて、SNSや自動音声で送られたコードを入力しているはずだが、あのときにコードを入力したデバイスが、信頼できるデバイスとして登録されるのだ。従ってここからは、既存のApple IDを持っているが、2ファクタ認証をオンにしていない場合の設定を解説する。基本的に、MacでもiPhoneでも、システム環境設定の「Apple ID」から設定を行う。あとは画面の指示に従って設定していけばいい。

2ファクタ認証の設定は、iPhoneの場合は「設定」アプリの「Apple ID」→パスワードとセキュリティ→「2ファクタ認証」の下にある「2ファクタ認証を有効にする」をタップする。Macの場合も同様に「システム環境設定」→「Apple ID」→「パスワードとセキュリティ」から「2ファクタ認証」の「有効にする」ボタンをクリックする

確認画面が出るので、説明をよく呼んで「続ける」をタップしよう

電話番号を入力する画面になるので、サインイン時に確認コードを受け取る電話番号を入力する。スマートフォンの場合はテキストメッセージ（SMS）で、固定電話などの場合は自動音声案内で確認コードが受け取れる

前述のように、ここで入力した電話番号が「信頼できる電話番号」として設定され、本人確認やアカウントの復旧に使用されるので、必ず自分自身が管理している最新の電話番号を登録しておこう。また、電話番号は複数登録できるので、携帯電話に加えて固定電話も登録しておくと、万が一の紛失時などに便利だ。

確認コードを受け取ったら「次へ」をタップして受け取ったコードを入力すると、2ファクタ認証が有効になる

2ファクタ認証を使ってみる

それでは早速、2ファクタ認証でアクセスしてみよう。Apple IDの認証に使っていないパソコンやスマートフォンからiCloudやApple Musicなど、Apple IDを使ってサインインするサービスにアクセスし、IDとパスワードを入力すると、下記のような画面が表示される。

2ファクタ認証のダイアログには6桁の確認コードを入力するスペースが用意されている

同時に、そのApple IDで「信頼できるデバイス」として設定されているデバイスにダイアログが表示される。

大まかな位置も表示されるが、Wi-Fiに接続されている場合、プロバイダーによってはあまり正確な場所が表示されない点に注意（実際、筆者は千葉県内からアクセスしてこの場所が表示された）

ここで「許可する」をタップすると、同時に、6桁のパスコードが信頼できるデバイスに送信される。このパスコードを、新規に利用したいサービスで先ほど表示された入力画面に入力すればいい。

パスコードを間違えると、再度パスコードの要求から行うことになり、3回失敗するとしばらくパスコードの入力を受け付けなくなるので注意

承認後、そのブラウザを信頼する設定にすると、次回からパスコードの入力が必要なくなる。ただし、これをあちこちのブラウザで行ってしまうと、せっかくの2ファクタ認証の意味がなくなってしまう。「信頼する」ブラウザは普段最も使うデバイス1～2台だけにするなど、最小限に抑えることを強くお勧めしたい。

ブラウザを信頼すると、次からは通常通りパスワードだけでサインインできるようになる

確認コードを取得する

Apple IDの設定画面にある「確認コードを入手」をタップすると、いつでも6桁の確認コードが表示される。確認コードを忘れてしまった場合などは、ここを使って再度取得すればいいわけだ。

確認コードは取得するたびに変更される。最後に取得した確認コードだけが有効になる

復旧キーを作成する

「パスワードとセキュリティ」の設定画面の一番下にある「復旧キー」は、文字通りApple IDの復旧時に利用するパスコードだ。復旧キーを設定すると、Apple IDのパスワードはサインイン済みの信頼できるハードウェアか、復旧キーがなければ変更できなくなる。もしパスワードが流出しても、勝手にApple IDのウェブサイトからパスワードを変更されてアカウントが乗っ取られることがなくなるわけだ。

また、何らかの手段でApple IDがロックされてしまったときにも、復旧キーは利用できる。復旧キーと信頼できるデバイス、それに信頼できる電話番号の3つが揃っていれば、AppleのサポートはApple IDのロックを解除してくれる。これにより、ユーザーを詐称する悪意のある侵入者がApple IDを（パスワードをわざと複数回間違えるなどして）ロックする→自分がサポートに連絡してパスワードを不正に変更・入手する、といったソーシャルハッキングも防げるわけだ。

アカウントの安全性を高めてくれる復旧キーだが、一度復旧キーを作ってしまうと、Apple自身もほかの方法ではアカウントのロックを解除できなくなる。もし災害などで復旧キーと信頼できるハードウェアをすべて失ってしまうと、どうにもならなくなってしまう。それくらい強力なものなので、作成したらかならず安全な場所に保管して、失くさない＆流出しないように厳重に管理する必要がある。正直なところ、諸刃の刃になりかねないので、筆者としては（特にデバイスの台数が少ない場合は）あまりお勧めできないほどだ。