二段階認証は、パスワードが知られても別の確認を求めることでアカウントを守りやすくします。一方、認証アプリを入れたスマートフォンを紛失し、ほかの手段を用意していないと、自分もログインできなくなります。この記事では二段階認証を外すのではなく、有効化と同時に復旧手段を二つ以上確認し、安全に保管する手順をまとめます。
有効化の前に公式の復旧方法を読む
サービスごとに、認証アプリ、セキュリティキー、端末への通知、SMS、バックアップコード、信頼できる端末など利用できる方法が異なります。Googleは通常の二段階認証を使えない場合に、使い切りのバックアップコードを利用できると案内しています。コードの枚数や再発行時の扱いもサービスで異なるため、一般的な手順を流用せず、対象サービスの公式ページを確認します。
普段の方法と復旧方法を同じ端末へ集めない
認証アプリとバックアップコードの画像を同じスマートフォンだけへ置くと、端末紛失で両方を失います。バックアップコードは印刷して安全な保管場所へ置く、暗号化した別媒体へ保存するなど、通常端末から分離します。コードをメール本文や共有チャットへ送らず、家族用であっても必要な人だけが場所を知る状態にします。使ったコードは無効として管理します。
予備の認証手段を二種類登録する
可能なら認証アプリに加え、予備のセキュリティキーや別の信頼済み端末など、性質の違う方法を登録します。SMSは利用できることがありますが、電話番号変更、圏外、番号を狙う攻撃の影響を考え、唯一の復旧手段にしないようにします。会社や学校のアカウントでは管理者のポリシーが優先されるため、勝手に私物の復旧先を登録せず、サポート窓口を確認します。
- 通常使う認証方法と予備方法を分ける
- バックアップコードを通常端末の外へ保管する
- 復旧用メールと電話番号を最新にする
- セキュリティキーは予備を安全な別場所へ置く
- 組織アカウントは管理者の復旧手順を確認する
機種変更は旧端末を消す前に完了する
新しい端末へ認証アプリを移す方法は、アプリやサービスによって異なります。同期、エクスポート、各サービスでの再登録など公式手順に従います。新端末で実際にログインし、予備手段も表示できることを確認してから旧端末を初期化します。旧端末を認証済み端末一覧から削除し、紛失端末が残っていないかも確認します。コードを撮ったスクリーンショットは安全に削除します。
復旧テストはログアウト前に準備する
いきなりすべての端末からログアウトせず、一つの信頼済みセッションを残して、別ブラウザーで予備手段を確認します。バックアップコードを試す場合は一回限りかどうかを理解し、使用済みとして記録します。新しい一式を発行すると古いコードが無効になるサービスもあります。異常を感じたらコードを繰り返し入力せず、公式の復旧窓口を使います。
半年ごとの確認
- 予備手段がアカウントへ登録されたままか
- 復旧用連絡先が現在も使えるか
- バックアップコードの保管場所へアクセスできるか
- 紛失・譲渡した端末が信頼済み一覧に残っていないか
- 家族や管理者が必要な連絡手順を知っているか
確認日には本物のバックアップコードや秘密鍵をメモへ転記せず、存在、保管場所、未使用枚数だけを記録します。不審な確認要求が届いた場合はリンクを開かず、自分で開いた公式アプリや公式サイトから状態を確認します。
二段階認証は、有効にする操作と復旧設計を一組で行います。通常端末とは別の予備手段、外部へ保管したバックアップコード、最新の連絡先があれば、紛失時にも二段階認証を弱めず対応しやすくなります。サービスごとの公式手順を残し、機種変更や連絡先変更のたびに更新してください。