GS2のログインアカウントを多要素認証で保護できるようになりました

はじめに

多要素認証とは、ログインIDとパスワードに加えて、追加のなんらかの情報に基づいて本人からのアクセスであることを確認することで、アカウントの保護を強固にする仕組みです。
一般にワンタイムパスワードが用いられることが多く、GS2 の多要素認証でもワンタイムパスワードを採用しています。

機能追加の背景

近年「パスワードリスト攻撃」と呼ばれる、サービスから漏洩したユーザーID・パスワードを使って他のサービスへのログインを試みる不正アクセスが横行しています。
このような攻撃への耐性を強めるために導入が進んでいるのがワンタイムパスワードです。

追加された機能の詳細

ワンタイムパスワードは30秒ごとに新しい6桁の数字からなるコードです。
このワンタイムパスワードは Google Authenticator や 1Password をはじめとしたさまざまなツールを使って管理・確認が可能です。

GS2においてはマネージメントコンソールでマイアカウントを選択し「多要素認証の追加」から登録手続きを開始できます。

すると、QRコードが表示されますので、こちらのQRコードをワンタイムパスワードを管理するアプリケーションで読み取ることで、ワンタイムパスワードを確認できるようになります。

パスワード管理ツールで表示されたワンタイムパスワードをフォームに入力することで、登録手続きは完了です。

次回ログインする時にはワンタイムパスワードの入力が求められるようになります。
これでアカウントを保護することができるようになります。