サーバー管理画面では、Webサイトの削除・メール設定・契約変更など影響の大きい操作ができます。パスワードが漏れたときに、それだけでログインされないようにするのが二要素認証です。特に契約者や管理者のアカウントから優先して設定します。

一方で、担当者一人のスマートフォンだけに認証を任せると、紛失や退職時に会社もログインできなくなります。認証方式の強さだけでなく、個人別アカウント・回復コード・予備管理者・端末交換の手順まで組織で決める必要があります。

二要素認証はパスワード以外の要素を加える

認証要素は、本人が知っているもの・持っているもの・本人の特徴に分けられます。パスワードは知っているもの、セキュリティキーや端末は持っているものです。指紋は本人の特徴に当たります。

二要素認証は、このうち異なる種類を組み合わせます。パスワードを二回入力しても、同じ種類の要素を重ねただけです。

パスワードがフィッシングや使い回しで漏れても、攻撃者が二つ目の要素を持たなければログインを止められます。ただし、二要素認証を設定しても端末上のログイン済みセッションや回復用メールが奪われれば、別の経路から侵入される可能性があります。

サーバー管理画面の防御は二要素認証だけで完結しません。管理者ごとに異なる長いパスワードを使い、不要な管理者を削除します。ログイン通知や操作履歴がある場合は有効にし、身に覚えのない操作を確認できる状態にします。

利用できる方式を強さと復旧方法で選ぶ

利用できるなら、FIDO2やWebAuthnに対応するセキュリティキーやパスキーを優先します。認証情報が正しいサイトへ結び付くため、偽のログイン画面へ誘導されても資格情報を渡しにくい方式です。NISTの認証指針では、WebAuthnをフィッシング耐性がある方式の例として挙げています。

認証アプリが一定時間ごとに生成するTOTPも、パスワードだけより安全性を高めます。ただし、利用者がコードを手入力する方式は、偽サイトへ入力したコードを攻撃者が中継できます。フィッシング耐性がある方式と同じ強さとは考えません。

SMSやメールで届くコードしか選べないサービスもあります。CISAの中小企業向け案内では、SMSとメールを相対的に弱い方式とし、利用できる中で強い方式を選ぶよう示しています。未設定のままにせず有効化し、サービスが対応した時点でより強い方式へ移行します。

共有管理者ではなく利用者ごとに設定する

複数人が一つの管理者IDを共有すると、誰が操作したかを追いにくくなります。退職者だけのアクセスを止めることもできません。サーバー会社がサブアカウントや権限分けに対応する場合は、担当者ごとのアカウントを作り、それぞれに二要素認証を設定します。

契約者アカウントしかないサービスでは、日常作業へ使う人を限定します。制作会社には契約変更までできるIDを渡さず、FTP・SFTPやWordPressなど作業に必要な専用権限を用意します。やむを得ず共有する場合も、利用者・目的・期限を記録します。

見落としやすいのが、管理者の一部だけ二要素認証を設定した状態です。パスワードだけで入れる別の管理者が残れば、攻撃者は弱い入口を選べます。契約者・管理者・請求担当・外部委託先を一覧にし、設定状況を確認します。

初回設定では締め出されない状態を先に作る

二要素認証を有効にする前に、登録メールアドレスと電話番号が現担当者のものかを確認します。サービスが回復コードや予備認証方式を提供する場合は、登録を終える前に保管方法を決めます。予備管理者も、実際にログインできる状態へしておきます。

設定は次の順番で確認します。

  1. 管理者と契約者アカウントを一覧にし、不要なものを削除する
  2. 利用できる中で最も強い認証方式を現担当者へ登録する
  3. 回復コードまたは予備の認証手段を会社管理の保管先へ置く
  4. 一度ログアウトし、通常のログインと回復手順を別々に試す
  5. 設定日・利用者・方式・確認者を権限台帳へ記録する

認証アプリでは、端末の時刻がずれるとコードを受け付けないことがあります。端末の自動時刻設定を確認してから、現在のセッションを残した別ブラウザーで新しいログインを試します。最初の端末を解除するのは、予備手段が使えることを確認したあとです。

回復コードはパスワードと同じ場所へ置かない

回復コードは、認証端末を失ったときに二つ目の要素を迂回できる強い情報です。パスワードと同じ表や同じメールへ保存すると、一度の漏えいで両方を失います。アクセスを限定した会社のパスワード管理ツールや、管理されたオフライン保管を使います。

スクリーンショットを個人の写真フォルダーへ残す運用も避けます。誰が回復情報を利用できるかを決め、利用後に再発行が必要か確認します。サービスによっては一度使ったコードが無効になるため、残数も管理します。

登録端末を紛失したときは、回復コードで入るだけで終えません。失った認証器を管理画面から解除し、ログイン済みセッションを無効にします。パスワード漏えいも疑われる場合は、別の安全な端末から変更し、操作履歴を確認します。

担当者変更では新担当者の確認後に旧端末を外す

引き継ぎでは、旧担当者のスマートフォンをそのまま会社の認証手段にしてはいけません。新担当者へ個人別アカウントを作り、二要素認証と回復手段を登録します。新しいログインを確認したあとで、旧担当者のアカウント・認証器・セッションを無効にします。

端末交換でも同じ順番です。古い端末を初期化する前に新しい方式を追加し、新端末からログインできることを確認します。認証アプリのバックアップ機能を使う場合は、会社の許可したクラウドアカウントへ保存されるかも確認します。

権限台帳には、管理画面URL・利用者・権限・認証方式・登録日・最終確認日を残します。秘密鍵や回復コードそのものを台帳へ書く必要はありません。半年ごとや担当者変更時に一覧を見直し、会社がログインできることと不要な入口が残っていないことを確認します。