📱 二段階認証（2FA）はなぜ
破られにくいのか？仕組みと設定方法

1. パスワードだけではなぜ不十分か？

まず根本的な問題から理解しよう。パスワードには、どれだけ強くしても避けられない弱点があるんだ。

• フィッシング詐欺による盗取：偽サイトに入力させてパスワードを盗む
• データベース流出：どこかのサービスが不正アクセスされ、パスワードが漏洩する
• 使い回しのリスク：複数サービスで同じパスワードを使っていると、1か所の漏洩が全滅につながる
• ブルートフォース攻撃：コンピューターで片っ端から試す「総当たり攻撃」

つまり、パスワードは「知識」だけで成り立つ認証であり、その「知識」が漏れたらアウトなんだ。

2. 「認証の3要素」とは何か？

セキュリティの世界では、「本人確認（認証）」の要素を3種類に分類しているんだ。

二段階認証（2FA）とは、この「知識」と「所持」の2要素を組み合わせることで認証を強化する仕組みだよ。パスワード（知識）＋スマホアプリが生成する一時コード（所持）の両方がないとログインできないようにするんだ。

---

3. TOTP（時刻ベースワンタイムパスワード）の仕組み

Google認証アプリ（Google Authenticator）やMicrosoft Authenticatorなどで使われている技術がTOTP（Time-based One-Time Password）だよ。30秒ごとに変わる6桁のコードだ。

TOTPが生成される仕組み

仕組みはシンプルだよ。

ポイントは以下の3点だよ。

• サーバーとアプリが同じ「シークレット」と「現在時刻」を持っているから、同じ計算結果を独立して算出できる
• 通信でコードをやり取りしていないから、途中で盗み見されるリスクがない
• 30秒で失効するから、万が一コードを盗まれても次の30秒後には無効になる

---

4. なぜハッカーは2FAを破りにくいのか？

仮にハッカーがあなたのパスワードを入手したとしても、2FAが有効な場合に突破するためには、

• あなたのスマートフォンを物理的に奪うか
• スマートフォン内の認証アプリに不正アクセスするか
• 30秒以内に正しいコードを当てるか（6桁で100万通り、しかし30秒しかない）

…のどれかが必要になる。物理的にスマホを奪うのはリモートのサイバー攻撃とは全く異なるリスクで、現実的には非常に難しい。だから2FAは「破られにくい」んだよ。

---

5. コインチェックでの2FA設定（概要）

コインチェックは認証アプリによる2FAを標準でサポートしているよ。設定の流れはこんな感じだ。

1. Google Authenticator（またはAny）をスマホにインストール
2. コインチェックのアカウント設定で「二段階認証の設定」を開く
3. 表示されるQRコードを認証アプリで読み取る（この瞬間に「シークレット」が共有される）
4. アプリに表示された6桁コードを入力して確認
5. 設定完了。以後ログインのたびに6桁コードが求められる

一度設定すると、仮にパスワードが漏洩しても、スマホを持っていない第三者はログインできなくなるんだ🐾

← 技術と仕組みに戻る