2ファクタ認証は安全、だけど難解

「話題のスマホ」ことiPhone 7 / 7 Plusがアップルから発売された。

これに先立ち、最新のiOS 10もリリースされている。iOS 10は、13日深夜の2時に公開されたが、手元のiPhone 6s Plusは、ダウンロードして再起動したところでiTunesへの接続を要求、なのに、iTunesは、最新バージョンをダウンロードしてくれず、iOS 10のダウンロードが完了しているはずのiPhoneを前のバージョンのiOSにリストアすると主張する。

仕方がないので、アップルから最新のiTunesをダウンロードして強制的に上書きインストールして事なきを得た。今は、この不具合は修正されているようだが、実に人騒がせな振る舞いだ。Twitterのタイムラインを眺めながら作業していたが、阿鼻叫喚に近いメッセージをたくさん見つけることができた。

そもそもPCが手元にあったからよかったものの、もしなければiPhoneは文鎮と化したままだ。最近は、PCを持たずにiPhoneだけですべてをまかなっているようなユーザーも少なくないだろうから、きっと夜中のあの時間、パニックに陥っていた方も少なくないんじゃないだろうか。

PCにバックアップがあれば、たとえiPhoneがどのような状態になったとしても、再起不能になって新品に代替えしたとしても、最新機種に変更したとしても、PCにつないで放置しておくだけで、いつもの自分のiPhoneに復帰する。iCloudのバックアップだけでは、こうはいかない。まだクラウドだけでは心配なのだ。

機種変更とセキュリティの穴

さて、iOSでは2ファクタ認証を使うことができる。新たなデバイスを使ってサインインする際に、Apple IDのパスワードに加えて、他のデバイスや電話番号に6桁の確認コードを送信し、それを新しいデバイスに入力して本人確認をするというものだ。もちろん使わないこともできるが、使った方がセキュリティは高まる。パスワードだけでは自分のアカウントにアクセスできないからだ。

でも考えてみてほしい。これは、コードを受け取れるデバイスをもう一台持っていることが前提であり、場合によっては、そのデバイスが公衆網を使ってSNSを受け取れる必要がある。つまり、電話であれば2つの携帯電話契約があることが前提となるわけだ。もちろん、固定電話に音声でコードを送らせることもできるが、昨今は、固定電話さえ持たないケースも少なくない。

2ファクタ認証についてはここに詳細が記載されている。電話番号を使わなくても、信頼済みのデバイスから確認コードを入手することもできる。ただし、これができるのは、iOS 9を搭載したiPhone、iPad、iPod touch、またはOS X El Capitanを搭載したMacのうち、すでに2ファクタ認証でサインインを済ませているものだけだ。最初のハードルは高い。

また、一般に、携帯電話の機種変更では、直前まで使っていた機種を下取りに出して新機種を入手するということも多いと思うが、その場合、新機種のセットアップ時に以前の機種は手元からなくなっているかもしれない。つまり信頼していたはずのデバイスがもう手元にないわけだ。その場合は信頼できる電話番号を使うことになるが、セットアップ中はSIMは新機種内にセットしてあるはずで、このあたり、ちょっとやっかいなことになる可能性もある。PCを持たずにiPhoneだけを使うユーザーもいれば、iPhoneが唯一で、それ以外のアップルデバイスを持たないユーザーもいる。

セキュリティ、使えなければ意味がない

それにしても、電話番号というのは、それほどまでに本人確認のために確実な情報なのだろうか。この電話番号をいったん設定したあとに変更するためには、Apple IDのアカウントページにログインして番号を書き換える必要がある。でも、そのログインのためには信頼できるデバイス(もしくは電話番号)が必要で、そこに確認コードが送られてくる。それを入力しなければログインはできない。うまく機能させられればとても明解で確実に安全が手に入るが、理解できなければ利用に至らないというのでは意味がない。

スマートフォンにはあらゆる情報が集約される。iPhone 7からは、日本でもApplePayが使えるようになるなど、カネにからむ要素も追加される。確かに2ファクタ認証は安全かもしれない。でも、それが最適解なのかどうか。この点についてはもっと考える必要がありそうだ。

(山田祥平 http://twitter.com/syohei/ @syohei)