アカウントの乗っ取りを防ぎ、端末を失ったときに備える

アカウントは、サービスに登録された利用者の情報です。パスワードは、そのアカウントを使うための秘密の文字列です。氏名やメールアドレスを知っているだけでは本人とは限りません。パスワードを使い回すと、一つのサービスから漏れた文字列で、別のサービスにもログインされる恐れがあります。サービスごとに長く異なるパスワードを用意し、パスワード管理アプリなどで保管します。練習欄には、本物のパスワードや回復用コードを入れないでください。

パスワードを知っていることに加え、登録した認証器を持っていることなど、異なる種類の確認を組み合わせる方法を多要素認証といいます。認証器とは、本人確認に使う機器やアプリです。パスワードを二つ入力するだけでは、異なる種類の確認にはなりません。自分がログインしていないのに承認を求める通知が来たら、承認しません。一度だけ使える確認用の番号（ワンタイムコード）も、他人に教えてはいけません。

パスキーでは、登録したサービスの名前に対応する鍵を使ってログインします。パスワードを入力する方式と違い、別の名前の偽サイトに同じ認証情報を渡しにくい仕組みです。ただし、端末の画面ロックや、パスキーを同期するアカウントの保護も必要です。端末を紛失したときに備え、別の認証器や回復用コードなど、サービスが認める方法を準備します。回復手段を失った端末の中だけに置くと、それを使えなくなります。

実習ではscenario.txtの相談内容を読み、answer.jsonへ回復の判断と理由を記入します。社員番号を知っているだけで本人として扱ってよいか、回復コードを誰が確認するか、紛失端末に残ったログイン状態をどうするかを分けます。

ここでは本物のログイン設定を変更しません。最初の下書きと自分が直した回答を比べ、資料のどの事実から判断したかを書きます。文章が入力済みであることと、その意味が正しいことは別に確認します。