私が口座をもっているSBI証券で10月末からパスキーが導入されました。
これまでのパスワードとデバイス認証でも引き続きログインはできますが、
ログインのたびにデバイス認証の作業が必要になるというめんどくさい状況に。
それまではデバイス認証が必要になる頻度はそれほど多くなかったので
我慢できていましたが、毎回となると流石に辛い。
セキュリティ確保のためには仕方なくはあるので、
パスキーの使用を受け入れるしかないか…
ただ、パスキーやFIDOを使うとアクセスできる端末が
固定されてしまう懸念があり、
いろんなデバイスからログインできない
という制限が生まれてしまうのはかなり不便。
例えば出先ではスマートフォンからアクセスするが、
PCが使える環境ではPCからアクセスしたいなんてケースで困ります。
またスマートフォンの紛失や機種変、
あるいはPCの引越しの不手際で詰むようなことがあると非常にまずい。
ということで私はなるべくパスキーの類は使いたくなかったのですが、
ここが年貢の納めどきか…
ということで、まずは下調べ。
XiaomiのAndroidスマートフォンの
ChromeブラウザでSBIのトップページを開いて
[ログイン]ボタンを押し、[パスキー認証でログイン]をタップすると、
"利用可能なパスキーがありません"と言われ、
続けて[別のデバイスを使用]をタップすると、
選択肢として[USBセキュリティキー]と
[別のスマートフォンまたはタブレット]が現れます。
前者を選択するとUSBドングルの接続を期待されます。
後者だとBluetoothをオンにするよう促され、
続いてQRコードが表示され、
そのQRコードをパスキーが設定されたデバイス
(カメラ付きスマートフォンぐらいしかない?)で読み込むことで
認証を突破できるようです。
SamsungのAndroidスマートフォンのChromeブラウザだと
[パスキー認証でログイン]をタップしても無反応で、
[ユーザーネーム]テキストボックスをタップして
ソフトキーボード内の[パスキーを選択]をタップすると
[QRコードを表示]と[Samsung Pass]の選択肢が。
前者だと前述のXiaomiのAndroidの
[別のデバイスを使用]をタップしたときと同じ動作に進みます。
つまり[USBセキュリティキー]と
[別のスマートフォンまたはタブレット]の選択肢が現れます。
後者だと[Samsung Pass]アプリが起動し、
Samsungアカウントでのサインインを求められます。
このアプリ自体が[セキュリティキー]になるようです。
ただし、Samsungアカウントをつくるのは
気が進まないのでとりあえずここまでで終了。
iPhoneのSafariブラウザ、またはChromeブラウザだと、
サインインする方法として
[iPhone、iPad、またはAndroidデバイス]か
[セキュリティキー]を選択できます。
ここで前者を選んで[続ける]をタップすると、QRコードが表示され、
前述のAndroidと同様の動作ということになります。
後者だと
…、セキュリティキーを挿入してアクティベートしてください。
NFCキーがある場合、このiPhoneの上部に近づけてください。
と表示され先に進めません。
NFC対応のセキュリティキーが必要ということですね。
Ubuntu(
廉価なminiPC)のChromeブラウザだと
"セキュリティキーを挿入し、タップしてください"
と表示され先に進めません。
USB接続のセキュリティキーが必須のようです。
Mac(
10年以上前のMacBookでCatalina(10.15)止まり)の
ChromeブラウザだとQRコードが表示されるので、
先のAndroidと同様の手順でいけるでしょう。
同時にUSBセキュリティキーの挿入も受け付けています。
Safariブラウザでは"セキュリティキーをセットして有効にしてください。"
とだけ表示されます。QRコードによる他デバイス認証はできなさそう。
Windows11(
廉価ノートPC)のChromeブラウザだと
[スマートフォンまたはタブレットを使用する]と
[外部セキュリティキーを使用する]の選択肢が現れます。
これまでと同様に、前者はQRコードが表示され、
それを設定済みスマートフォンで読み込むことになり、
後者はUSBセキュリティキーを挿入することになります。
Edgeブラウザでも同様です。
これまでの結果をまとめると、
USB接続とNFCに対応したセキュリティキーを用意するのが良さそうです。
USB Type-CプラグをType-Aプラグに変換するアダプタ
と一緒に持ち歩くのが汎用性が高いかと。
チェーンに繋いで持ち歩けばなくす可能性を低くできますし、
一緒に
忘れ物タグ(iOS/Android両対応)も付けておけば、
万一なくしても探し出せる可能性が上がります。
ではこれが壊れたり紛失したりすると詰むのか、というとそうでもなく、
SBI証券のパスキー認証の案内ページを見ると、
既存のログイン方法も併用できます
パスキー認証の設定後も、ユーザーネームとログインパスワードを使用してログインができます。
既存のログイン方法でログインする場合は、ログイン画面でユーザーネーム・ログインパスワードの入力と多要素認証によるログイン時の認証が必要です。
とあるので、
パスキーを設定しても、セキュリティキーなしで
ログイン(要デバイス認証)することはできるので、
予備のセキュリティキーをバックアップ用に
保管しておく必要はないようですし、
セキュリティキーを携行していないときでも
ログインが可能なことがわかりました。
だったらパスキー設定してもいいかな。