＠kususan

パスキーと2段階認証、結局どれが一番安全なのか。とコメントで質問がありました🙆‍♂️ 最近はパスキーを導入するサービスも増えています。 パスキーだけでログインできる場合もあれば、従来のID・パスワードを入力した後にパスキーを求められる場合もあります（　noteがそんな感じなよう） 一般的な認証方法を、安全性の観点から整理すると私の評価はこんな感じです。 🥇 パスキーのみ パスワード不要。Face IDや指紋、端末のPINなどで本人確認してログインする方式。 偽サイトに誘導されても認証情報を盗まれにくく、安全性と使いやすさを両立しています。 🥇 パスワード＋パスキー ID・パスワードを入力した後、さらにパスキーで認証する方式。 こちらも偽サイトへのフィッシングに強い方法です。ただし、パスキー単独より必ず安全というわけではありません。 🥈 パスワード＋認証アプリ Google Authenticatorと言った認証アプリなどに表示される6桁のコードを入力する方式。（昔は小さい端末に刻一刻と変わる数字が出るものを持ち歩いているサラリーマンが多かったですね。それ系です。） SMSより安全性が高い一方、偽サイトにパスワードと認証コードを入力してしまうと、突破される可能性があります。 🥉 パスワード＋SMS認証 携帯電話に届く認証コードを入力する方式。 認証アプリと同じくフィッシングに弱く、電話番号を乗っ取る「SIMスワップ」という攻撃にも注意が必要です。 そして最後が、パスワードのみの認証です💀 ここで知っておきたいのは、認証の手順が多ければ多いほど安全、というわけではないこと。 パスキーは、端末などに保存された認証情報（極秘）と、顔・指紋・PINなどによる本人確認を組み合わせることで、パスワードを入力しなくても強力な認証ができます。 一方、パスワードと電話番号へ来るSMSコードをそれぞれ入力していても、偽サイトに両方を盗まれれば突破される可能性があります（偽サイトに入力してるのをリアルタイムで監視されていて、同時に悪い奴が本当のサイトに入力してたりね） もう一つ、見落としがちな落とし穴があります。 せっかくパスキーを設定していても、パスワードとSMSだけでログインできる別の入口が残っていたら、攻撃者はそちらを狙えます。（なので、IDパスでログインできなくする設定があればオンにして） 結局、大切なのは「一番強い認証方法を設定したか」だけではなく、「ほかに弱い入口が残っていないか」となります。 パスキーが使えるなら、まずはパスキー。使えなければ認証アプリ、それもなければSMS認証。 身近なサービスのログイン設定、一度確認してみてください。 ご安全に🙆‍♂️