多要素認証(MFA)の確認コードをパスワードマネージャーで管理する方法
2022年2月28日にトヨタ自動車は、主要なサプライヤーに対するランサムウェアを用いたサイバー攻撃により、翌日（3月1日）の工場の操業を停止しました。
こうした事態を受けて、経済産業省など関連省庁は連名で、セキュリティ対策の強化に関する注意喚起を発表しています。
この注意喚起の最初に出てくる対策は、パスワードなど本人認証に係るものです。
パスワードが単純でないかの確認、アクセス権限の確認・多要素認証の利用・不要なアカウントの削除等により、本人認証を強化する。
これまで、このブログでもパスワード管理に関するトピックはいくつか扱ってきました。今回はさらに、もう1つ本人認証において、重要な仕組みである多要素認証（二段階認証）に関するKeeperの機能をご紹介できればと思います。
多要素認証については、以下の野村総合研究所様の記事が、「多要素認証」、「二段階認証」、「二要素認証」などの用語の違いを、わかりやすく解説しているので、おすすめです。
なお、以下の投稿では、「多要素認証」に呼び方を統一してご紹介してまいります。
多要素認証を利用するときの課題
Google Authenticatorなどのスマホアプリが生成する6桁の数字や、SMSで届く確認コードを打ち込むというものになります。
認証アプリやSMSを利用した認証でよくある課題（お悩み）として、以下のようなものがあると思います。
認証アプリやSMSを利用した認証でよくある課題（お悩み）として、以下のようなものがあると思います。
- いちいち、アプリやスマホを見るのが面倒である。（時として手元になかったりする）
- 共有アカウントの場合、誰かがログインしようとした時、多要素認証があるとログインができない、または管理している人に連絡をしないとならない
これらの課題に対して、Keeperであれば、Keeperのボルト（保管庫）に保存してあるアカウント情報に多要素認証の確認コードなどを紐づけておくことで、解決することが可能になります。
Keeperの多要素認証のコード
多要素認証のコードを追加するとボルト内の「二要素コード」の欄に確認コードが表示されます。デフォルトでは、数字は伏せた状態で表示されます。表示マークを押すことで、見ることが可能になります。
KeeperのChrome拡張機能などをご利用いただくと、ログイン画面が出てきたら、Keeperが候補となるアカウント情報を表示してくれます。IDやパスワードについては、自動で入力してくれます。
そして、その後、確認コードの入力画面に遷移しても、同じように自動で入力してくれます。
最初にログインする際に、自動入力をしてくれないことがあります。その際には、拡張機能からボルトを開き、確認コードをコピーして貼り付けることでログインできます。また加えて、その後、自動的に入力してくれるようになります。
多要素認証コードの追加の仕方
この便利な機能を利用するためには、多要素認証用のコードをKeeperに追加する必要があります。そこで、次にその方法について、ご紹介したいと思います。
まず、追加したいアカウントのボルトを開きます。
ボルトの編集ボタンを押します。アカウントの詳細情報をスクロールしていくと、「二要素コードの追加」というフィールドが表示されます。こちらをクリックしてください。
そうすると、以下のようなポップアップが表示されます。
多要素認証の確認コードを登録する際、多くの場合、QRコードが画面に表示されます。Google Authenticatorなどを利用する場合は、そのQRコードを読み取って利用します。
Keeperも同様にQRコードを読み込むことで、確認コードを見ることができます。WindowsやMacのデスクトップ版アプリやスマートフォンアプリをご利用になっている場合は、スキャンを選択すると、読み取りができるようになります。画面に表示されているQRコードを読み込ませると、登録完了です。
Chromeの拡張機能から追加する場合は、QRコードのスクリーンショットを活用するか、手動でシークレットキーを入力する必要があります。QRコードを画像（スクリーンショットなど）で持っている場合は、その画像をアップロードしてください。そうでない場合はセットアップを選択し、コードを手動（コピー＆ペースト）してください。なお、QRコードのスクリーンショットは情報セキュリティの観点から、利用されたらすぐに削除することを推奨いたします。
追加作業が終わると、フィールドに確認コードが表示されるようになります。
まとめ
いかがだったでしょうか？多要素認証の時の確認コード入力は、チームでの共同作業などにおいて、意外と課題になる点ですので、お役に立てるのではないかと思います。
Keeperでは、ゼロ知識技術を応用して、保存されている情報を外部の不正なアクセスからはもちろん、Keeper自身ものぞき見ることが出来ない設計になっております。そのため、保管されている情報は、基本的には安全です。
一方で、当たり前といえば当たり前なのですが、Keeperへのアクセス権限が何らかの形で、第3者に渡ってしまった場合は、情報をのぞき見られる可能性があります。その時、多要素認証の確認コードが同じところにあることが、セキュリティの観点から、受け入れることができるリスクかという点については、よくご検討頂ければ幸いです。
