物理セキュリティキーYubiKeyとは

FIDO2、WebAuthnの仕組み

FIDO2は、FIDO Allianceが定義するWebAuthnとCTAPを組み合わせた公開鍵認証の仕組みです。

WebAuthnは、ウェブアプリがブラウザを通じて公開鍵資格情報を登録し、認証するためのW3C仕様です。

WebAuthnでは、ウェブアプリがRelying Partyとしてチャレンジを作り、ブラウザが認証器との処理を仲介します。

登録時には、認証器の内部で公開鍵と秘密鍵の組み合わせが作られ、サービス側へ公開鍵が登録されます。

認証時には、サービスが送ったチャレンジなどのデータに対して認証器が署名し、サービスが登録済みの公開鍵で署名を確認します。

WebAuthnは、接続元のoriginとRelying Party IDを認証処理へ結び付けます。

そのため、正規サイト用に作られた公開鍵資格情報を、別ドメインの偽サイトでそのまま使う攻撃を抑えやすくなります。

この効果は、サービス側がWebAuthnの仕様どおりにoriginと資格情報を検証する場合に成り立ちます。

CTAPは、ブラウザやOSなどのクライアントと、USBやNFCなどで接続する外部認証器の間で、資格情報の作成や署名などを行う通信プロトコルです。

CTAPはウェブサイトと外部キーを直接つなぐ仕様ではなく、WebAuthnの要求をクライアントが認証器へ渡すために使われます。

この仕組みは、SMSや認証アプリのOTPを偽サイトへ入力させ、攻撃者がリアルタイムで使う攻撃とは異なります。

FIDO AllianceのCTAP仕様とW3CのWebAuthn仕様で、認証方式、ブラウザ、OS、サービスの役割を確認できます。

SMS、認証アプリ、セキュリティキーの使い分け

認証方式は、強さの順位だけでなく、対象サービス、端末、復旧手段で選びます。

OTP（ワンタイムパスワード）は、一回の使用または一定時間の経過で無効になる認証コードです。

メール、金融、パスワードマネージャーなど影響の大きいアカウントで対応している場合は、セキュリティキーを候補にします。

対応していないサービスでは、認証アプリなど利用できる方式を公式案内で選びます。

購入前に確認する項目

Googleアカウントで登録する流れ

同じ物理キーでも、パスワードの後に使う二段階認証と、キーにパスキーを作る使い方では登録条件が違います。 パスキーは、パスワードに代わる公開鍵方式の認証情報です。 キーはそれを保存する機器の一つで、すべてのセキュリティキーがパスキーを作れるわけではありません。

二段階認証かパスキーかを確認する

• 二段階認証の第2要素：GoogleではFIDO1またはFIDO2のキーを使えます。パスワードを入力した後の本人確認に使う方式です。
• キーに保存するパスキー：GoogleではFIDO2対応キーが必要です。キーのPINなどで本人確認し、条件を満たす場合はパスワード入力を省けます。学校や職場のGoogle Workspaceでは管理者の設定によって利用が制限されます。

登録先は、Googleのセキュリティキー案内とパスキーの要件で確認できます。 画面の名前だけで判断せず、どちらの使い方として登録するかを確認してください。

登録前に端末と復旧手段を確かめる

パソコンはOSとブラウザ、スマートフォンはそれに接続方式も合わせて確認します。 Googleの二段階認証ヘルプは、パソコン、Android、iPhoneとiPadで案内が分かれています。 例えば、同じNFC対応キーでも、Googleの案内ではiPhoneとiPadのNFC対応は異なります。 使う端末のタブを開き、USB端子の形だけで利用可と判断しないでください。

パスキーには別のOSとブラウザの要件があります。 Googleが示すブラウザの最低条件はChrome 109、Safari 16、Edge 109、Firefox 122です（2026-10-05確認）。 最低条件を満たしていても、使うOS、外部キー、接続方式の組み合わせまで保証されるわけではありません。 OSとブラウザは更新し、パスキーの要件で対象端末を確認します。

先に、キーを使えないときに戻れる手段を確保します。 予備キーを登録できるか、バックアップコードなど別の本人確認方法が使えるかを確認し、普段使えているログイン状態も残してください。 Yubicoは、メインキーと一緒に予備キーを各サービスへ登録する方法を案内しています。 予備を買って保管するだけでは、そのアカウントには使えません。Yubicoの予備キー案内

キーのPINは、そのキーに対して本人確認するために使います。 Googleのパスワードやバックアップコードとは役割が違います。 PINが分からないときに推測で入力を繰り返したり、解決策としてすぐリセットしたりしないでください。 キーのリセットと、Googleアカウントの復旧は別の手続きです。 YubiKeyのFIDOリセットは既存のFIDO認証にも影響し、利用先への再登録が必要になります。YubicoのFIDO仕様

登録から利用確認まで

1. Googleの公式ヘルプから対象アカウントの設定を開き、登録したい方式を選びます。二段階認証用キーとパスキーでは案内が異なります。
2. 画面が求める接続方法でキーを接続し、案内に沿って操作します。パスキーの場合は、保存先が目的の物理キーかを確かめます。PINや指紋認証の有無はキーと登録方式によって異なります。
3. 設定の登録一覧で追加結果を確認し、名前を付けられる場合はメインと予備を区別できる名前にします。
4. 復旧手段を使える状態にしたうえで、普段のログイン状態を残し、対応する別のブラウザや端末で目的のキーによるログインを確認します。別の認証方法で入れた場合は、キーの動作確認が済んだことにはなりません。
5. 予備キーもサービスへ個別に登録し、それぞれで使えることを確認してから別の場所へ保管します。

Googleは、新しいキーやパスキーの登録後、ログインに使えるまで約7日かかる場合があると案内しています。 登録一覧にあっても使えない場合は、表示された案内と対応条件を確認し、登録削除やリセットを急がないでください。 プライベートブラウジングではパスキーを使えない組み合わせもあるため、そこでの失敗だけでキーの故障と判断しません。

この手順は2026-10-05に確認した公式資料をもとにしています。 本記事では、本人アカウントへの登録、実機キーによる認証、OSの実画面の確認は行っていません。

紛失、破損、予備キーによる復旧

キーを紛失した場合は、次の順に確認します。

1. 予備キー、リカバリーコード、別の認証方法で公式ログインを試します。
2. アカウントのセキュリティ設定から、紛失したキーを登録解除します。
3. パスワード、登録端末、ログイン履歴、復旧先を確認します。
4. 復旧できない場合は、サービスの公式復旧窓口へ連絡します。

紛失したキーだけでログインできる設計とは限りませんが、登録解除は必要な対応の一つです。

予備キーは、メインキーと同じ財布やバッグに入れず、災害や紛失の影響が重ならない場所に保管します。

予備キーが登録されているかは、実際に使えるうちに公式設定画面で確認します。

セキュリティキーの限界

セキュリティキーは、認証の入口を保護する手段です。

次の問題を単独で解決するものではありません。

• 端末のマルウェアや、ログイン後のセッションの盗用
• サービスの復旧手続きやサポート窓口を悪用する攻撃
• キーの紛失、破損、対応端子の不足
• セキュリティキーに対応していないサービス
• 登録済みの端末やブラウザがすでに侵害されている場合
• 利用者が自分で認証を承認してしまうソーシャルエンジニアリング

セキュリティキーを登録しても、パスワード、端末、復旧手段、ログイン後のセッションを別に保護します。

確認済み仕様でYubiKeyを比較する

YubiKeyのモデルを比べるときは、価格を断定せず、使う端末、必要な認証方式、NFCの要否から絞り込みます。

この表は、Yubicoが公開する製品仕様で確認できた機能だけを比べています。

製品表の確認日は元稿の2026-07-26です。 今回の更新では、製品仕様全体を再確認していません。

使いたいサービスの対応方式と端子が一致するかを、購入前にサービスとYubicoの公式情報で確認してください。

他社のFIDO2対応キーを候補にする場合も、サービス対応、接続方式、復旧、販売元、更新情報を同じ項目で確認してください。

設定の確認が終わったかを見る

次の項目を確認できたら、導入の一区切りと判断できます。

• 対象サービスの対応方式と、端末との接続方式を確認した
• 予備キーと、キーを失った場合の復旧手段を用意した
• 登録後に、そのキーでログインできることを確認した
• SMSや認証アプリとの使い分けを決めた