パスワードの先にもう一枚の扉

パスワードが漏れる道は、多くの人が思うより多い。一箇所の漏洩は、別の場所で使い回していたパスワードまでさらす。盗まれた一組の情報が、いくつものアカウントを同時に開けてしまう。本物そっくりに作られたログイン画面は、打ち込んだ文字をそのまま受け取って外へ送る。端末に潜む不正なプログラムは、入力が通るそばから読み取る。これらに向き合うとき、パスワード一本だけの守りは薄い。そして薄いまま何年も過ぎてきた。

二段階認証は別の道を選ぶ。持ち歩く鍵をもう一つ足すのだ。ログインのときにはパスワードがあり、そのうえで自分の携帯の中にしか存在せず、三十秒ごとに変わるコードがある。パスワードは遠い国からでも複製できるが、この二つ目の要素は端末を手にしていなければ取り出せない。パスワードを知っている相手でも、手元にない番号を求める扉の前で止まる。

この考え方を当たり前にしたのが Google Authenticator だ。この分野の草分けであり、事実上の標準でもある。作りは素朴という言葉が似合うほど簡素で、回り続ける六桁の数字が一列あるだけで、ほかに気を散らすものはない。その簡素さの裏側に、どの認証アプリよりも広い対応範囲がある。多くのサイトが有効化を促すとき、まずこの名前を挙げるのはそのためだ。

三分で終わるアカウントの補強

設定は初心者にも負担がない。ワンタイムパスワードに対応したサイトの安全設定を開き、二段階認証を有効にして、このアプリで二次元コードを読み取る。コードはすぐに現れ、一度入力すれば結び付けは完了する。以後のログインではパスワードと現在のコードの両方が求められ、パスワードを拾っただけの相手は入れない。手順全体は、お茶を一杯いれる程度の時間で終わる。

長らく最大の弱点は、誰も宣伝しなかった一点にあった。機種変更をすると鍵をすべて失い、結び付けたアカウントへの入口も同時に失うのだ。これは解消された。鍵はアカウントのクラウドで同期して控えられるようになり、新しい端末でサインインすれば一度の操作で戻る。この補修が、壊れやすい道具を、端末を替えても恐れずに持ち歩けるものへ変えた。

これが耳で聞くより重い理由は、二つ目の要素が別の種類の秘密だからだ。パスワードは自分が知っているもので、知っていれば共有もできれば、推測もされ、だまし取られ、肩越しに読まれる。動くコードは自分が持っているもので、自分のそばにある端末の中で作られ、複製が使われる前に失効する。二つの破られ方は重ならない。だから攻撃側は二つの課題を同時に解かねばならず、二つ目は一つ目のようには数を増やせない。日常の側から見れば、こちらの手間はほとんど増えず、相手の手間だけが跳ね上がるということだ。

Google Authenticator の考え方は「少ないほど安全」だ。交流の場も、通知も、余計なものは何もない。ログインしようとする三十秒のあいだだけ、静かに六つの数字を差し出し、そのまま一歩下がる。

使い方の勧めは明快だ。まずメール、クラウド保存、決済に結び付いたアカウントで有効にする。これらは他のすべてを開ける鍵になるからだ。控えの鍵の画面や復旧用のコードは安全な場所に残しておく。携帯を失ったとき、それが最後の命綱になる。クラウド同期は便利だが、最も厳しい姿勢を取りたいなら、同期せずにオフラインで使う選択も残っている。

費用はかからず、割り込みもなく、二つの携帯環境をどちらも覆う。最初の認証アプリとして、これ以上に勧めやすいものはない。三分の設定で、いちばん大事なアカウントが、他人には開けられない二つ目の錠の内側に入る。

どれもこのアプリを見栄えよくはしない。それは意図したものだ。流し読みする一覧もなく、消す印もなく、試したくなる機能もない。フォルダの中にいて、ログイン画面が六桁を求めたときに目を覚まし、また静かになる。何かを守る道具は、たいてい退屈であることで信頼を得る。このアプリは、よい意味で、長いあいだ退屈であり続けてきた。