YubiKeyの値段は5,900円から　なくしたら入れない？予備が要るわけ

ログイン用の小さな鍵「YubiKey（ユビキー）」が、日本で本格的に売り出された。作っているのはスウェーデンのYubico（ユビコ）で、価格は5,900円から。9月から公式オンラインストアで18製品を扱い、Amazon.co.jpでも買える。楽天市場でも「近日中」に売り始めるという（Impress Watch、11月13日）。

USBメモリのような形の鍵を、パソコンに挿すかスマホにかざしてログインする。売りは、偽サイトにパスワードを打たせて盗むフィッシングを、仕組みのうえで止められることだ。

なぜ偽サイトを「遮断」できるのか

YubiKeyはパスキーの一種だ。鍵は、開いているサイトのアドレスが、登録した本物のサイトと一致したときだけ、中にしまった暗号の鍵で署名したデータを返す。偽サイトでは、そもそも答えない。人が見分けなくても、鍵が見分けてくれるわけだ。

Yubicoのジェロッド・チョンCEOは、11月12日の説明会でこう話した。「フィッシング攻撃は進化しているが、従来型の多要素認証は進化していない。AIを使った攻撃には対抗できない」。偽サイトにワンタイムパスワードを打たせて盗む手口も出ているという。

日本は守りが薄い。YubicoとOktaの8月の調査では、多要素認証を使う割合は、世界の71%に対し日本は44%。ハードウェアの鍵を使う割合は、世界25%、日本15%だった。デジタル庁の本人確認の指針でも、偽サイトに強い方法として、ハードウェアの鍵が挙げられている。

怖いのは、盗まれるより「なくす」こと

では、鍵をなくしたらどうなるのか。ここが、この商品のいちばんの泣きどころだ。Yubico自身も、紛失したときの復帰には課題があると認めている。だから日本国内に在庫を多く持ち、2本をあらかじめセットにする仕組みも用意しているという。

Yubicoの設定案内は、本命と予備の2本を、同時に登録するよう勧めている。いちばん安い5,900円の鍵で2本そろえると、単純計算で11,800円。スマホ代のひと月分くらいだ。

予備がないと、どうなるか。Googleのヘルプによると、ほかの確認方法を何も登録していない場合、本人確認に「最長で 3～5 営業日」かかることがある。その間、メールも写真も開けない。Yubicoのブログ（2015年）も、会社で配られた鍵をなくした社員は、情報システム部門の手続きを通らないとメールなどに入れない、と書いている。

鍵の話ではないが、復旧用のメールアドレスを打ち間違えたまま締め出され、Googleアカウントの9年分の写真と文書を取り戻せなかった人の例を、ライフハッカー・ジャパン（2020年）が伝えている。

「締め出される確率」を示した統計は、探した範囲では見つからなかった。ここからは見方だ。この鍵で、攻撃者に破られる心配はぐっと減る。代わりに、持ち主が締め出される心配は、予備の鍵と予備の連絡先を用意したかどうかで、ほぼ決まる。守りの重さが、会社のサーバーから持ち主のポケットへ移るのかもしれない。

ネットの評判

はてなブックマークでは、11月13日夕方の時点で91件のブックマークが付いた。多いのは「予備が事実上いるので、2本分かかる」「値段が上がった」という声だ。Amazonで品切れになっている、という報告もある。

一方で、日本の公式の売り場ができたことを歓迎する声や、会社で使うならこれが現実的、という声も目立つ。Amazonの非公式な出品は偽物の心配がある、鍵さえあれば万全だと思われるのが心配、という注意の声もあった。

11月13日の時点で、楽天市場での販売開始の日付は、Impress Watchの記事では示されていない。