ヤフーがソフトウェアトークンによるOTPをはじめた

このドキュメントの内容は、以下の通りです。

• はじめに
• OTPってなに？
• アプリ
• 二要素認証で何が変わる？
• 設定
• 気をつけること

はじめに

昨年、ヤフーは、メールによるワンタイムパスワードのサービスを開始していますが、
それに続き、ヤフーはソフトウェアトークンによるワンタイムパスワード(OTP)をはじめました。

メールによるワンタイムパスワードは、メールによる配送の遅延やワンタイムパスワード送信先のメールアカウントのセキュリティなど、課題がいくつもありました。携帯メールアドレス以外を使い、Webメールなどを利用した場合、二要素認証（記憶認証＋所有認証）ではなく、記憶認証と記憶認証になってしまい、あまりよいものではありませんでした。

OTPってなに？

OTP は、ワンタイムパスワードの略です。 使い捨てのパスワードです。

銀行のWebサイトにログインするときなどに、IDとパスワード以外にRSAトークンなどと言われる数字が表示されているデバイスを利用された経験をお持ちの方もいらっしゃるでしょう。

IDとパスワードは、「記憶認証」といわれる記憶ベースの認証です。
IDとパスワードは、パスワードの使い回しと情報漏えいで漏れてしまったり、フィッシングなどで漏らしてしまう可能性もあります。

RSAトークンは、物理的なデバイスです。本人がちゃんと持ってないと解らない情報です。
物理的に盗難にあわない限り、本人しかそのときに必要なワンタイムのパスワードは、知り得ません。

トークンのいいところは、記憶に頼らず、生成されるコードが使い捨てであることです。

アプリ

アプリ名は、「Yahoo! JAPAN ワンタイムパスワード」です。

App Store

• Apple iOS 向けアプリ
• iPhone, iPod, iPad などで利用できます
• https://itunes.apple.com/jp/app/yahoo!-japan-wantaimupasuwado/id602491534?mt=8

Google Play

• Android OS 向けのアプリ
• https://play.google.com/store/apps/details?id=jp.co.yahoo.android.yjotp

二要素認証で何が変わる？

ログインのステップが変わります。

• ID + パスワードでの認証
• ワンタイムパスワードの認証

設定

OTP は、ヤフーの設定を変更しないと使えません。

• 下記サイトにアクセスし、ログイン状態にします。
• https://protect.login.yahoo.co.jp/otp/settings
• 「設定の開始」の画面で、「アプリ」を選択します。
• https://protect.login.yahoo.co.jp/otp/start
• 手動（３ステップ）で、アプリを選択し、インストールします。
• https://protect.login.yahoo.co.jp/otp/set_app
• アプリをインストールしたら、起動します。
• アプリ右下の + ボタンをおして、アプリのカメラを起動します。
• ブラウザの手動（３ステップ）の画面の「２　アプリの設定」の「バーコードを表示」をクリックし、バーコードを表示します。
• アプリのカメラで、PC画面のバーコードを撮ります。
• カメラがバーコードを認識すると自動的にアプリに読み込まれます。
• ブラウザの手動（３ステップ）の画面の「３ アプリの設定確認」を押して、次の画面に遷移し、「ワンタイムパスワード」を入力します。
• この認証が通れば、ワンタイムパスワードを有効化できます。

これで、設定は終わりです。

気をつけること

• ワンタイムパスワードのアプリは、ワンタイムパスワードが有効なときに削除しないでください。
• スマホ・スマデバを買い換えるときは、ワンタイムパスワードの設定を一度、オフにしたほうがいいかもしれません。

---