トップクラスの安全性と利便性を兼ね備え、世界中の大企業・政府が実装している最強の認証セキュリティキー「YubiKey」シリーズ。そんなYubiKeyの最新モデル【YubiKey Bio】が、21年10月に発売開始されました。
YubiKey Bioは従来型YubiKeyの利便性やポータビリティを受け継ぎつつ、新たに指紋認証機能を搭載することによってセキュリティ性能がアップグレードされているのが特徴です。
当社にもYubiKey Bioが届きましたので、YubiKey Bioの基本スペックや初期設定の方法について解説しつつ、実際にGitHubで実装しながら使用感・利便性を詳しくレビューします。
この記事の目次
YubiKey Bioの基本スペック
まずは、実際に届いたYubiKey Bioの基本情報をご紹介しましょう。YubiKey BioはこちらのUSB-Aタイプのほか、USB-Cフォームファクタの「YubiKey C Bio」も選べます。
YubiKey Bioは薄くて頑強・防水防塵デザイン
正面からみたYubiKey Bioはこのようなデザイン。全長4.5cmで、高度な生体認証機能を備えたセキュリティキーとは思えないほど小さく、非常に軽量です。
YubiKey Bio
横から見ると非常にスリムで、ちょうどクレジットカードを3枚重ねた程度の厚さ。
しかし頑丈さはお墨付きで、防水・防塵性能まで備えているためタフな環境でも問題なく使用できるよう設計されています。例えば仕事中に間違ってコーヒーをこぼしてしまったり、落として踏んでしまったとしても、まず壊れることはないでしょう。
生体認証キーは市場に星の数ほど出回っていますが、ここまで薄く、かつ頑丈で、防塵防水まで備えたタイプは初めて見ました。さすがYubico社です。
一度購入すれば何年も使用できる、導入にあたってのコスパの良さも魅力です。
これだけタフな仕様なら、紛失さえしなければ数年～10年単位で使用し続けられるでしょう。しかも購入は買い切りで、月額費用などは一切発生しません。価格も1本につき1万円以下で、これだけの性能を備えた生体認証キーとしては非常に良心的と言えます。
YubiKey Bioの基本性能
次に、YubiKey Bioの基本性能について簡単にご紹介します。YubiKey Bioは、YubiKeyシリーズの中で初めて指紋認証機能を搭載した最新モデルです。
YubiKey Bioはデスクトップ用で、対応プロトコルは二要素認証・多要素認証・パスワードレス認証を実現する「FIDO2/WebAuthn」と「FIDO Universal 2nd Factor（U2F）」。Windowsのほか、macOSやChromeOSでも利用できます。従来のYubiKeyシリーズ同様、バッテリーやクライアントソフトウェアを必要としません。
YubiKey Bioに指紋を登録してセットアップさえすれば、Microsoft Azure AD含むFIDOをサポートするサービス・アプリへ安全性の高い認証セキュリティを実現。サービス・アプリが指紋認証をサポートしていないケースでも、セキュリティPINによるロック解除ができるため、問題なくFIDO認証を実装可能です。
現代では多くのパソコンには生体認証システムが搭載されていますが、それらはビルトインなためデバイスに依存しています。一方でYubiKey Bioは、多数のデバイスをまたいでその機能を利用でき、どこでもトップクラスのセキュリティを展開できるため、より利便性の高い選択肢と言えるでしょう。
デメリットがあるとすれば、従来のYubiKey、例えば【YubiKey 5】と比べるとフォームファクタや対応プロトコルの種類は制限されていることです。NFCや、Lightningフォームファクタ、OTP・スマートカードといったプロトコルを使用したい場合はYubiKey 5シリーズの方が適しているでしょう。
YubiKey 5シリーズについて、更に詳しくはこちら（セキュリティ専用サイトに遷移します）
関連記事：「最先端のパスワードレス認証がAzure ADで標準機能に！有効化の手順も解説」
YubiKey Bioのセキュリティ強度
YubiKey Bioの紹介動画（英語）
YubiKey Bioのセキュリティは、これまでのYubiKeyシリーズとは一線を画しています。
そもそも認証セキュリティには大きく三つの要素があり、一つのセキュリティに用いる要素が多いほど安全性が向上。一般的には、このうち2つを組み合わせた「二要素認証」が安全なセキュリティとして認識されています。
- 知識要素（ID・パスワード・PINなど）
- 所有要素（認証アプリ・物理キーなど）
- 生体要素（指紋・顔・虹彩など
しかしYubiKey Bioは、二要素どころか三要素全ての要件を備えたセキュリティ環境を構築できるため、特別に高い安全性を実現可能。
例えばIDとパスワードを入力し、さらにYubiKey Bioの指紋認証でログインするケースを考えてみましょう。このログイン認証に成功するためには、次の3つのセキュリティ要素を全てクリアする必要があります。
- IDとパスワードを知っていること（知識要素）
- YubiKey Bioを所持していること（所持要素）
- 事前登録した指紋データと指紋が合致すること（生体要素）
これだけの条件が設定されていれば、遠隔からのサイバー攻撃はもちろん、パソコンやYubiKeyへ物理的にアクセスできる人に対しても隙の無い鉄壁の防御を展開できます。
さらに特筆すべきは、この強力なセキュリティ認証を一瞬で実行できる利便性です。
ログインする側は、IDなどを入力してパソコンにYubiKey Bioを差し込み、タッチするだけでログインできます。
関連記事：「二要素認証・二段階認証の決定的な違いとは？最適な選び方も解説」
YubiKey Bioに指紋を登録する方法
では、実際にYubiKey Bioの初期設定として指紋を登録する方法をOS別に紹介していきます。
Windowsでの初期設定
Windowsではパソコンの設定画面から直接指紋を登録できます。英語ですが、公式サイトに登録方法の動画がありました。
早速、具体的な手順を実際の画面を見ながら解説していきます。
まずWindowsの設定画面に入り、「アカウント」をクリックして「サインイン オプション」の画面へ。すると、上から4番目にセキュリティキーの選択肢が表示されているはずです。
セキュリティキーをクリックし、「管理」をクリックしてください。
すると、次のような画面が現れます。指紋登録の前に、まずはキーの暗証番号（PIN）の登録が必要です。PINは、指紋認証をサポートしていないサービスを保護する場合や、指紋を認識できない場合の代替手段として使用します。
画面の指示に従って、4桁以上のPINを登録してください。PINを登録すると指紋を登録できるようになるので、指紋の「セットアップ」をクリックしてください。
画面の指示に従って指紋を登録していきます。登録完了の画面が出るまで、登録したい指の指紋をゆっくり何度も押し当ててください。
Yubicoは公式サイトで、複数の指紋を登録しておくことを推奨しています。片手につき一つ登録しておくと安心でしょう。
macOS・Linuxでの指紋登録
続いて、macOS・Linuxでの指紋登録方法です。macOSやLinuxの場合は、YubicoがリリースしているYubiKeyの管理もできる認証アプリ「Yubico Authenticator」を使用して登録する方法が簡単でしょう。（Yubico AuthenticatorはWindowsでも使用可能）
まず、公式サイトからYubico Authenticatorのアプリをデバイスにダウンロードします。
Yubico Authenticatorのダウンロードページ（Yubico公式）
ダウンロードに成功し、アプリを起動すると次のような「YubiKeyを挿入」という画面が表示されます。
YubiKey Bioをパソコンに挿入すると、次のようにデバイスの情報が検出・表示されます。
※WindowsでYubico Authenticatorを使用する場合、パソコンのアプリ画面から「管理者として実行」を選択しなければYubiKeyの検出ができないためご注意ください。
YubiKey情報の画面から下にスクロールすると、次のように「Webauthn(FIDO2/U2F)」との記載があるので、その欄の右端にある＞マークをクリック。
すると、YubiKey BioのFIDOプロトコルの設定画面に移ります。「Create a PIN（PINを作成）」をクリックし、指紋登録の前に4桁以上のPINを登録して下さい。
PINを登録すると、「Fingerprints（指紋）」がクリックできるようになります。右端の＞をクリックし、「Add（追加）」をクリックして登録を進めてください。
登録したい指の指紋を、認識が完了するまで何度も押し当てます。
Yubico Authenticatorでは、どの指紋を登録したか判別できるよう名前をつけることができます。「右手人差し指」など、どの指紋がどの指のものかわかるように登録しておくと安心でしょう。
これで、Yubico Authenticator経由での指紋登録は完了です。
GitHubでの初期設定・実際のログイン方法を実演
それでは実際のサービスでYubiKey Bioを使用し、利便性を試してみましょう。本記事では「GitHub」アカウントを例に、初期設定からログインまで一通り実演していきます。
GitHubアカウントにおけるYubiKey Bioの初期設定
まずGitHubアカウントにログインし、「Account Setting（アカウントの設定）」ページから「Account Security」のタブへ。
GitHubアカウントでは、まず二要素認証を有効化しなければYubiKeyの登録ができません。その場合は、まず二要素認証を有効化しましょう。「Enable two-factor authentication（二要素認証を有効化）」をクリックして下さい。
初期の二要素認証は、SMS認証・認証アプリの2種類から選択できます。どちらか都合の良い方を選択して「Continue（続ける）」をクリックしてください。
関連記事：「SMSはもう限界！今すぐ組織に導入できる『二要素認証アプリ』トップ3」
画面の指示に従って登録し、完了すると次のような画面に。「Done（完了）」をクリックで二要素認証の有効化設定は完了です。
二要素認証の有効化が完了すると、セキュリティキーの登録が可能になります。アカウントセキュリティの画面に戻って下にスクロールすると、次のように「Register Security Key（セキュリティキーを登録）」というオプションが表示されているはずです。
クリックするとセキュリティキーの名前を決めるよう求められるので、登録するYubiKeyを識別できる名前を入力し、「Add（追加）」をクリック。
ちなみにWindows Hello搭載の機種の場合、画面の指示に従って進めていくとWindows Hello経由で登録するよう指示する画面が表示されます。YubiKey Bioで登録するには「キャンセル」をクリックしましょう。次にセキュリティキー登録の画面が現れます。
セキュリティキーのセットアップ画面が表示されたら「OK」をクリックし、画面の指示に従ってください。
最後にYubiKey Bioを挿入し、指紋を登録した指でタッチします。指紋との照合に成功すればGitHubアカウントでの初期設定は完了です。
YubiKey BioでGitHubにログインする方法
では、続いて実際のログインも実演します。まずは通常通り、GitHubのログイン画面へ。ユーザーネーム・メールアドレスとパスワードを入力します。
二要素認証を求める次のような画面が表示されます。「Use security key（セキュリティキーを使用する）」をクリックして先に進みましょう。
手元に置いてあるセキュリティキーをデバイスに挿入しタッチ、指紋の照合を行います。
これでログイン完了です。パスワードのみの認証セキュリティよりセキュリティ強度が段違いにもかかわらず、ログインにかかる時間はパスワードのみの認証と3秒程度しか変わりませんでした。
コードの入力ミス・期限切れによって認証に手間取ることが多かった認証アプリやSMS認証と比べ、明らかに数秒～数十秒は認証速度が短くなっています。
気になるのはYubiKey Bio本体の紛失です。ただ、基本的にセキュリティキーは複数本登録できるので、普段使いの1本に加えてスペアキーを準備しておけばそこまで困る事はないでしょう。
安全性の高いYubiKey Bioを購入する方法
このようにYubiKey Bioは、政府グレードのセキュリティ強度と抜群の利便性を兼ね備えています。ただし、購入先には少し注意が必要です。そこで最後に、YubiKey Bioの最適な購入方法についてご紹介しましょう。
YubiKey Bioのようなセキュリティソリューションは、 正規代理店からの購入が基本中の基本です。
確かに、Amazonには多数の販売元から販売され、メルカリ等にはリユース品として出品されたものを購入できます。しかし、こういった正規代理店ではないお店や個人からの販売品には要注意。十分なセキュリティ性能のない不正なコピー品が紛れ込んでいたり、改造されウイルスが仕込まれている可能性もあります。
重要データの入ったアカウント等を保護することを考えると、正規代理店から購入した方がはるかに安全です。
また、正規代理店の中には、YubiKeyを導入したい組織ごとに最適な形式で実装する「導入サポート」付きの購入を提供しているお店もあります。
なにぶんYubiKey Bioは販売されたばかりのセキュリティキーなので、特に日本語ではネット検索で十分な情報を得ることができないのが難点です。セキュリティ強度が最大化されるように実装するには、専門家によるサポートは必須と言えるでしょう。
