Google の 二段階認証が快適だった

Google からメールが来た

以下のようなメールが届いた。

Soon you’ll sign in with 2-Step Verification

After you enter your password, you’ll complete a second step on your phone. Keep your phone nearby when you sign in.

2-Step Verification will be turned on automatically on December 9. You can turn this on sooner if you want — your account is all set.

Google ログイン時に二段階認証が必要になるらしい。

二段階認証 = 面倒くさいという先入観

以前働いていたチームでサーバログイン時に二段階認証を使っていたが、正直言うと、かなり面倒という印象があった。

• ログイン画面にパスワードを入力する
• トークンデバイスに表示されるワンタイムパスワードを入力する

上記の認証方法は 2016 - 2018 年頃に所属していたチームで使われていた。（少なくとも自分の近くの）周りの人たちからは「生産性が落ちるだけ、セキュリティと生産性のトレードオフをもっと考えるべき」と酷評だった。

また、とあるクレジットカード会社ではウェブショッピングをするときに以下のような二段階認証が必要になる

• カード情報を入力後、クレジットカード会社のページにリダイレクトするので、パスワードを入力する
• 登録している携帯電話のSMSに送付されるワンタイムパスワードを入力する

海外にいる場合これは地味に面倒だったりする。認証時には通常つけている現地SIMを日本の番号のSIMに入れ替えなければいけない。また、海外にいるとSMSが届かなかい場合がある。それならいっそ現地SIMの番号を登録すればと思うが、日本の番号しか登録できなかったりする。

Googleのはどうなっているか

二段階認証するためのオプションがいくつか用意されている。SMSやボイスメールでの認証やワンタイムパスワードの認証も選択できるが、Google prompts がおすすめ。以下のように認証を行うことができる。

• パスワードを入力する
• スマホにインストールしている Google アプリに「あなたは今サインインしようとしていますか？」のようなポップアップが出るので、「はい」を選択する

これだけなのでかなりシンプル。

「はい」だけで認証できるのは大丈夫なのか心配になるが、デバイス情報、場所、時刻などからあやしいアクティビティはブロックされるらしい。ログイン済みのデバイスにしかポップアップ通知を出さないので、SMSより安全という気もする。一度認証が済んだデバイスは信頼できるデバイスとして登録することができ、次回の認証からは二段階認証をスキップできる。

ということで、自分がもっていた「二段階認証 = 面倒くさい」という先入観は無くなりました。利便性を損ねることなくセキュリティを強化するように考えられていて、さすが Google と感動しました。