2 要素認証 (2FA) の選択と設定方法、およびデバイスを紛失した場合の対処方法

パスワードだけではもう十分ではありません。 資格情報のスタッフィング、脆弱なパスワード、小規模な Web サイトがデータベースにドラッグされた後、同じアカウントとパスワードが他の場所で試行される - これらのことは頻繁に発生するため、「私のパスワードは非常に複雑です」が防御線を構成することはほとんどありません。 2 要素認証 (2FA) はこの問題を解決します。パスワードに加えて別の検証を追加することで、攻撃者はパスワードだけを取得しても侵入できなくなります。

参考: Binance Academy (https://academy.binance.com/en/articles/what-is-two-factor-authentication-2fa)。 以下は、選び方、設定方法、不具合時の対処法などを中心に、私なりの理解で再構成したものです。

2FA では具体的に何を検証するのでしょうか?

そのロジックは、同じものを 2 回要求するのではなく、性質の異なる 2 種類の資格情報を要求することです。 一般的な 3 つのカテゴリは、あなたが知っているもの (パスワード、PIN)、あなたが持っているもの (携帯電話、ハードウェア キー、ワンタイム認証コードを受信または生成できるデバイス)、およびあなた自身の特徴 (指紋、顔) です。

実際に「パスワード＋ワンタイム認証コード」の組み合わせを使っている人がほとんどだと思います。 攻撃者にとって、パスワードと 2 番目の要素の両方を取得することは、1 つのパスワードだけを盗むことよりもはるかに困難です。

ここには見落とされがちな違いがあります。2 段階認証と真の 2FA はまったく同じではありません。前者は、パスワードと秘密の質問など、同じタイプの 2 つの要素を使用する可能性があります。 どちらも「知っているもの」のカテゴリに分類されます。実際の 2FA 要件要素はさまざまなカテゴリから来ています。もちろん、実際の製品では、この 2 つの用語は同じ意味で使用されることがよくあります。 ほとんどのシナリオでは、パスワードはワンタイム確認コードと組み合わせられます。

6 つの一般的な形式、それぞれの弱点は何ですか?

**SMS 認証コード。 ** 最高の互換性。アプリをインストールしたりハードウェアを購入したりする必要はありません。 しかし、SIM カードのハイジャックが怖いのです。攻撃者はオペレーターをだまして、自分の管理するカードに番号を転送させ、認証コードは他人の手に渡ります。 2FA は何もしないよりは優れていますが、弱いオプションの 1 つです。

**認証アプリ。 **Google Authenticator や Authy などのツールは、時間ベースのワンタイム パスワード (TOTP) を生成し、30 秒ごとに更新されます。 インターネットに接続しなくても使用でき、SIMカードの乗っ取りの影響を受けません。 価格は、インストールされているデバイスに関連付けられています。携帯電話を紛失し、バックアップがない場合、アカウントにアクセスできない可能性があります。

**ハードウェアトークン。 ** YubiKey のような物理キーはオフラインで動作し、ほとんどのリモート攻撃に対して耐性があり、セキュリティにおいては第一段階です。 欠点は、購入して持ち歩くのにお金がかかることです。紛失または破損した場合は、交換する必要があり、バックアップから回復する方法が必要です。

**生体認証。 ** 指紋と顔、高速、コードを入力する必要はありません。 本当に重要なのは、生体認証データをどのように保存して保護するかです。指紋が漏洩した場合、パスワードのように変更することはできません。 現在、ほとんどの携帯電話にはこの機能が搭載されています。

**メール認証コード。 ** 使い慣れたものなので、追加の機器は必要ありません。 問題は、電子メールが単一障害点になることです。電子メールに侵入した人は誰でも 2FA を回避できる可能性があります。 通常、より良いオプションがない場合にのみ使用されます。

** パスキーと FIDO2。 ** これは新しい標準です。 「パスワード + 確認コード」に依存せず、デバイス上にキーのペアを保存します。生体認証または PIN を使用してデバイスのロックを解除し、認証を完了すると、サーバーは秘密キーを取得できません。 不正行為を行うためのパスワードや確認コードがないため、当然ながらフィッシング Web サイトの影響を受けません。 Google、Apple、Microsoftなどのプラットフォームは2023年から段階的にサポートする予定だ。

ちなみに、Passkeyは第2要素として利用されるのではなく、「パスワード+認証コード」という古いモデルを置き換えるという位置づけなので、2FAとは同じ概念ではありません。

セットアップ プロセスと最もスキップしやすいステップ

各インターフェイスは異なりますが、手順は基本的に同じです。まず、使用する方法を決定します (ほとんどの人にとって、認証アプリはセキュリティと利便性のバランスのとれた選択であり、追加のハードウェアを購入する必要はありません)。次に、アカウントのセキュリティまたはアカウント設定に移動し、二重認証/2 段階認証への入り口を見つけ、プロンプトに従ってそれを開きます。その後バインドを完了します。通常、認証アプリはコードをスキャンし、SMS は携帯電話番号を確認し、ハードウェア トークンはデバイスを登録します。

最後のステップはスキップするのが最も簡単です。 **バックアップ コードを保存します。 ** 2FA を有効にすると、通常、サービス プロバイダーから一連のリカバリ コードが提供されます。これは、メインの検証方法が失敗した場合に使用できます。 印刷して引き出しに保管するか、パスワード マネージャーに保管してください。単にスクリーンショットを撮って同じ携帯電話に保存しないでください。 バックアップ コードがないと、アカウントの取得に時間がかかる可能性があります。

使用後に注意すべきいくつかの事項

ワンタイム認証コードは、相手がカスタマーサービスまたは公式プラットフォームであると主張する場合でも、誰にも与えられることはありません。 フィッシング ページはリアルタイムで認証コードを入力させるため、ログイン ページが表示されたら、まずドメイン名を確認してください。 トラフィックが傍受される可能性があるため、公衆 Wi-Fi では検証操作を実行しないようにしてください。 毎日使用するアカウントだけでなく、2FA をサポートするすべてのアカウントを開きます。 携帯電話を変更した場合、またはデバイスを紛失した場合は、ただちに関連するすべてのアカウントにアクセスして設定を更新してください。 また、どのデバイスやアプリケーションがまだアクセス許可を持っているかを時々確認することも良い習慣です。

Exchange アカウント: 2FA 以外に確認すべきこと

暗号資産アカウントが盗まれると、その影響はソーシャル アカウントよりもはるかに深刻になるため、ここではもう少し考えてみる価値があります。 セキュリティの観点からは、テキスト メッセージの代わりに認証アプリまたはハードウェア トークンの使用を優先します。 通貨引き出しアドレスのホワイトリストや通貨引き出し確認メールなどのスイッチもチェックされます。

コストに関しては、手数料とリベートの観点から、他の人の意見を聞くのではなく、自分のアカウントで確認する価値のある点がいくつかあります。スポットと契約のメイカーレートとテイカーレートはそれぞれいくらか、VIPレベルはどのくらいの基準で割ったのか（取引量やポジションなど）、BNB控除があなたのレベルで本当に効果的かどうか、控除後に実際にいくら差し引かれるのか、リベートチャネルを使用する場合、リベートはどのような基準と期間で決済されるのか？ これらの数値は企業ごと、カテゴリごと、活動ごとに異なり、また調整されます。ここでは具体的な値は示しません。重要なのは、料金ページに表示される内容と、自分自身に請求する金額です。

よくある質問

**SMS 2FA で十分ですか? ** 単にパスワードを使用するよりも強力ですが、いくつかの方法で破るのが簡単です。 大量のアカウントを保持している場合は、バリデーター アプリまたはハードウェア トークンに切り替える方が安全です。

**デバイスを紛失した場合はどうすればよいですか? ** 開設時に保存したバックアップ コードを使用するか、サービス プロバイダーのアカウント取得プロセスに従ってください。 このため、セットアップ当日にバックアップ コードを保存する必要があります。

**2FA はアカウントの絶対的な安全性を保証できますか? **はできません。 これは攻撃の閾値を高めるだけであり、フィッシング、ソーシャル エンジニアリング、デバイス自体が侵入されるなどの経路は依然として存在します。

##最後に

2FA は費用対効果の高いステップですが、お守りではありません。 どの方法を選択するかは、使用習慣とプラットフォームのサポートによって異なります。重要な点は、特にお金に関連するアカウントを裸で実行しないことです。

この記事は一般的な情報をまとめたものにすぎず、投資アドバイスを構成するものではなく、プラットフォームの公式見解を表すものでもありません。