「フィッシングでパスワードを盗まれてもログインされにくくする方法がある」「Googleアカウントや業務アカウントの不正アクセスリスクを大きく下げる方法がある」——その対策として注目されているのが、物理的なセキュリティキーです。

物理的なセキュリティキー（Physical Security Key / Hardware Security Key）とは、USB・NFCなどを使ってコンピューターやスマートフォンに接続し、ログイン認証を行う物理デバイスです。YubiKeyやGoogle Titan セキュリティキーなどが代表的で、FIDO2・WebAuthn規格に基づき、パスワードだけの認証やSMS認証と比べて、フィッシング耐性の高い認証を実現できます。

本記事では、物理的なセキュリティキーの仕組み・FIDO2/WebAuthnの技術・フィッシングに強い理由・SMS認証との違い・主要製品の比較・設定方法・紛失時の対応・パスキーとの違い・企業での活用・被害や防止事例・FAQまで解説します。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

物理的なセキュリティキーとは？

物理的なセキュリティキー（Hardware Security Key）とは、ログイン認証に使う専用の物理デバイスです。USBポートに挿す、NFCでスマートフォンにかざす、対応端末でタッチするなどの方法で使い、サービスへのログイン時に本人確認を行います。

物理的なセキュリティキーの接続方式

接続方式は、利用するPCやスマートフォンに合わせて選ぶ必要があります。PCでもスマートフォンでも使いたい場合は、USB-C＋NFC、USB-A＋NFCなど、複数の接続方式に対応した製品を選ぶと便利です。

FIDO2・WebAuthnの仕組み

物理的なセキュリティキーは、FIDO2やWebAuthnと呼ばれる認証規格に基づいて動作します。

FIDO2とWebAuthnとは

• FIDO2：WebAuthnとCTAPを組み合わせた認証規格の総称。公開鍵暗号を用いたフィッシング耐性の高い認証を実現する
• WebAuthn：W3Cが策定したWeb認証API。ブラウザやWebサービスがセキュリティキーやパスキーを使って認証するための仕組み
• CTAP：ブラウザやOSと、物理セキュリティキーなどの認証器が通信するためのプロトコル

FIDO2/WebAuthnは、パスワードを入力して送信する方式とは異なり、公開鍵暗号を使って本人確認を行います。

FIDO2認証の仕組み（公開鍵暗号方式）

セキュリティキーは、サービスごとに異なる公開鍵・秘密鍵のペアを生成し、以下の流れで認証します。

1. 登録時：セキュリティキーがサービスごとに公開鍵と秘密鍵のペアを生成する
2. 公開鍵の登録：公開鍵はサービスのサーバーに登録される
3. 秘密鍵の保管：秘密鍵はセキュリティキーの内部に保存され、外部には送信されない
4. 認証時：サービスのサーバーがランダムなチャレンジ（乱数）をブラウザへ送る
5. 署名：ユーザーがセキュリティキーに触れると、キーが秘密鍵でチャレンジに署名する
6. 検証：サーバーが登録済みの公開鍵で署名を検証し、正しければ認証成功となる

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから

なぜフィッシングに強いのか

物理的なセキュリティキーがフィッシングに強い理由は、FIDO2/WebAuthnが認証時に「どのWebサイトで認証しようとしているか」を確認する仕組みを持つためです。

オリジンバインディングとは

オリジンバインディングとは、認証情報を登録したWebサイトと、認証要求を出しているWebサイトが一致しているかを確認する仕組みです。

たとえば「google.com」に登録した認証情報は、通常「g00gle.com」や「google.com.fake.example.com」のような別ドメインでは使えません。フィッシングサイトが本物そっくりのデザインをしていても、ドメインが異なれば、セキュリティキーによる認証が成立しにくくなります。

そのため、攻撃者が偽サイトでID・パスワードを盗んだとしても、セキュリティキーによる署名を得ることが難しく、不正ログインを防ぎやすくなります。

認証方式別のフィッシング耐性比較

主要製品の比較

物理セキュリティキーには、Yubico、Google、Feitianなど複数のメーカーの製品があります。価格や仕様は販売店・時期・モデルによって変わるため、購入前に公式情報を確認してください。

主要サービスへの対応状況

FIDO2/WebAuthnに対応するサービスでは、物理セキュリティキーを利用できます。ただし、対応状況や設定方法は変更されることがあるため、導入前に各サービスの最新ヘルプを確認してください。

設定方法（Googleアカウントを例に）

ここでは、Googleアカウントを例に、物理セキュリティキーを登録する基本的な流れを紹介します。画面名や手順は変更される場合があるため、実際の設定時はGoogleの最新ヘルプも確認してください。

1. Googleアカウントにアクセスする：myaccount.google.comにログインする
2. セキュリティ設定を開く：左メニューの「セキュリティ」をクリックする
3. 2段階認証プロセスを選択する：2段階認証プロセスの設定画面を開く
4. セキュリティキーの追加を選択する：認証方法の追加画面でセキュリティキーを選ぶ
5. セキュリティキーを接続する：USBで接続する、またはNFCでかざす
6. キーにタッチする：画面の指示に従ってセキュリティキーに触れる
7. キーの名前を付ける：複数キーを管理しやすいように名前を付ける
8. バックアップ用のキーも登録する：紛失・故障に備えて2本目のキーを登録する

紛失・故障時の対応

紛失した場合の対応手順

1. 別の認証手段でログインする：バックアップキー、バックアップコード、スマートフォン認証などを使う
2. 紛失したキーをアカウントから削除する：セキュリティ設定から登録済みキーを確認し、紛失したキーを削除する
3. ログイン履歴を確認する：見覚えのないログインや不審な操作がないか確認する
4. 必要に応じてパスワードを変更する：パスワード漏洩の可能性がある場合は変更する
5. 新しいキーを登録する：再びバックアップを含めて複数キー体制に戻す

紛失リスクを最小化するための対策

• 2本以上のキーを登録しておく：1本を普段使い、1本を自宅や金庫など安全な場所に保管する
• バックアップコードを安全に保管する：紙に印刷して金庫などに保管する
• キーホルダーやケースで管理する：紛失しにくい形で持ち歩く
• 会社支給の場合は管理台帳を作る：誰にどのキーを配布したか、紛失時の手順を明確にする

物理的なセキュリティキーとパスキー（Passkey）の違い

パスキーも、FIDO2/WebAuthnに基づくフィッシング耐性の高い認証方式です。ただし、物理セキュリティキーは専用デバイスに認証情報を保存するのに対し、パスキーはスマートフォン、PC、パスワードマネージャーなどに保存され、クラウド同期される場合があります。

Apple IDでの物理セキュリティキーの設定

Apple IDでは、対応するOSとFIDO認定セキュリティキーを使って、物理セキュリティキーを設定できます。Apple IDにセキュリティキーを設定する場合、通常2本以上のキーが必要です。

1. 対応キーを用意する：FIDO認定のセキュリティキーを2本以上準備する
2. iPhoneやMacのOSを確認する：対応バージョンにアップデートされているか確認する
3. Apple IDの設定を開く：「設定」または「システム設定」からApple IDのセキュリティ設定を開く
4. セキュリティキーを追加する：画面の指示に従ってキーを接続またはNFCでかざす
5. 2本目のキーも登録する：紛失時に備えて、必ず予備キーも登録する

企業・組織での物理セキュリティキーの活用

高権限アカウントへのセキュリティキー必須化

システム管理者、IT管理者、役員、経理責任者など、高い権限を持つアカウントには、物理セキュリティキーの導入が有効です。これらのアカウントが侵害されると、社内システム全体や重要データに被害が広がる可能性があります。

開発者・GitHubアカウントの保護

ソースコードリポジトリへのアクセスに物理セキュリティキーを利用すると、開発者アカウントの乗っ取りリスクを下げられます。開発者アカウントが侵害されると、ソースコードの改ざん、シークレット情報の窃取、サプライチェーン攻撃につながる可能性があります。

Google Workspace・Microsoft 365の保護

企業のGoogle WorkspaceやMicrosoft 365に物理セキュリティキーを組み合わせることで、フィッシングによる業務メール、クラウドストレージ、社内ドキュメントへの不正アクセスリスクを下げられます。

特に、管理者アカウントや機密情報を扱うユーザーから段階的に導入する方法が現実的です。

ゼロトラスト環境でのユーザー認証

ゼロトラスト環境では、「誰が」「どの端末から」「どの条件で」アクセスしているかを継続的に確認することが重要です。物理セキュリティキーは、ユーザー本人確認の強化手段として活用できます。

ただし、セキュリティキーだけでゼロトラストが実現するわけではありません。端末管理、条件付きアクセス、ログ監視、最小権限の原則と組み合わせることが必要です。

物理セキュリティキーに関連する被害・防止事例2選

事例1：フィッシング対策としてGoogleが物理セキュリティキーを導入

フィッシングでは、偽サイトにID・パスワードや認証コードを入力させ、攻撃者がそれを使って不正ログインを試みます。SMS認証や認証アプリのワンタイムコードは、リアルタイムフィッシングによって盗まれる可能性がありますが、FIDO2/WebAuthnに対応した物理セキュリティキーは、認証要求元のドメインを確認する仕組みにより、偽サイトでの悪用に強いという特徴があります。

Googleは、従業員の業務アカウント保護のために物理セキュリティキーを導入し、導入後は業務アカウントに対する成功したフィッシング被害が確認されていないと報じられています。これは、物理セキュリティキーがフィッシング対策として有効であることを示す代表的な事例です。

企業では、まず管理者、役員、経理担当者、開発者など、アカウント侵害時の影響が大きいユーザーから物理セキュリティキーを導入すると効果的です。

事例2：MFA疲労攻撃による不正アクセスとFIDO2の有効性

多要素認証を導入していても、方式によっては攻撃を受ける可能性があります。たとえば、プッシュ通知型のMFAでは、攻撃者が大量の認証要求を送り、利用者が誤って承認してしまう「MFA疲労攻撃」が問題になることがあります。

2022年に発生したUberへの不正アクセスでは、攻撃者がMFA疲労攻撃を使ったと報じられています。このような攻撃では、利用者が誤って承認ボタンを押してしまうことがリスクになります。一方、FIDO2/WebAuthnに対応した物理セキュリティキーでは、認証要求元のドメイン確認や物理的な操作が必要になるため、プッシュ通知型MFAよりもフィッシングや承認疲れ攻撃に強い認証方式として注目されています。

企業では、プッシュ通知型MFAだけに依存せず、管理者アカウントや重要システムへのログインには、物理セキュリティキーやパスキーなどのフィッシング耐性の高い認証方式を検討することが重要です。

よくある質問（FAQ）

Q. セキュリティキーを紛失したらアカウントにアクセスできなくなりますか？

バックアップ手段を用意していない場合、アカウントにアクセスできなくなる可能性があります。セキュリティキーを登録する際は、2本目のキー、バックアップコード、スマートフォン認証など、復旧手段を必ず用意してください。

Google、Microsoft、Appleなどの主要サービスでは、複数の認証手段を登録できる場合があります。重要なアカウントほど、事前のバックアップ設計が大切です。

Q. セキュリティキーはどのサービスでも使えますか？

FIDO2/WebAuthnに対応したサービスであれば利用できます。ただし、すべてのWebサービスや社内システムが対応しているわけではありません。

利用したいサービスの「2段階認証」「多要素認証」「セキュリティキー」などの設定画面を確認し、対応状況を確認してください。

Q. 物理セキュリティキーはパスキーより優れていますか？

どちらが常に優れているというより、用途によって向き不向きがあります。物理セキュリティキーは、専用デバイスを持っている人だけが認証できるため、高権限アカウントや企業利用に向いています。

一方、パスキーはスマートフォンやPCに保存でき、クラウド同期により複数端末で使いやすい場合があります。日常利用ではパスキー、高リスクなアカウントでは物理セキュリティキーという使い分けが現実的です。

Q. スマートフォンしか持っていない場合でもセキュリティキーは使えますか？

NFC対応のセキュリティキーを使えば、対応するスマートフォンにかざして認証できる場合があります。iPhoneやAndroidの対応状況は、OSバージョンや機種、利用するサービスによって異なります。

購入前に、スマートフォンがNFCに対応しているか、利用したいサービスがセキュリティキーに対応しているかを確認してください。

Q. 企業で物理セキュリティキーを全社導入する場合の注意点は？

主な注意点は、以下の通りです。

• 1人あたり最低2本のキーを用意し、紛失時のバックアップを確保する
• 対応しているサービスと対応していないサービスを事前に調査する
• 紛失・故障・退職時の回収・無効化フローを整備する
• 従業員向けに使い方のトレーニングを行う
• 管理者・開発者・役員など高リスクなユーザーから段階的に導入する

全社一斉導入よりも、まずは高権限アカウントや重要システムから段階的に導入する方が現実的です。

まとめ

物理的なセキュリティキーは、FIDO2/WebAuthn規格に基づく、フィッシング耐性の高い認証デバイスです。秘密鍵がデバイス内部に保存され、認証時には正規ドメインとの紐づきが確認されるため、パスワードや認証コードを盗むタイプのフィッシングに強いという特徴があります。

主要な製品には、YubiKey、Google Titan セキュリティキー、Feitian製品などがあります。USB-A、USB-C、NFCなど接続方式が異なるため、自分のPCやスマートフォンに合った製品を選ぶことが重要です。価格や対応サービスは変わるため、購入前に公式情報を確認してください。

セキュリティキーを使う場合は、必ず2本以上を登録し、紛失・故障時のバックアップ手段を用意しましょう。企業では、管理者、開発者、役員、経理担当者など、アカウント侵害時の影響が大きいユーザーから段階的に導入するのが効果的です。パスキーや多要素認証と組み合わせながら、重要なアカウントを強固に保護していきましょう。

書籍「セキュリティ対策の基礎知識」
メルマガ登録でプレゼント！

セキュリティ対策で何をして良いかわからない
企業の情シス部門の方必見！

メルマガ登録はこちらから