PR：この記事にはアフィリエイトリンクが含まれます。
開発環境のログインをパスワードだけに任せると、使い回しやフィッシングによる流出が心配になりますよね。FIDO2対応のセキュリティキーなら、登録したサービスで物理キーを使って本人確認できます。
PCではUSB-C、スマートフォンではNFCと使い分けられる製品もあります。USB-C対応の3製品とUSB-Aの1製品があり、機能もFIDO認証中心のものからSSHやOTPに対応するものまで異なります。
セキュリティキー早見表
接続方式と追加機能を一覧にしました。USB-AのToken2は、開発PCなどに同規格のポートがある環境で使いやすい製品です。
| モデル | 接続 | 主な機能 | 主な用途 |
|---|---|---|---|
| Yubico Security Key C NFC | USB-C・NFC | FIDO2／WebAuthn、U2F | Webサービスの認証 |
| Yubico YubiKey 5C NFC | USB-C・NFC | FIDO2、OTP、PIV、OpenPGP | 認証と複数の鍵用途 |
| Google Titan Security Key | USB-C・NFC | FIDO2、セキュアエレメント | Googleアカウントの保護 |
| Token2 PIN+ Release3.3 | USB-A・NFC | FIDO2.1、SSH、OTPなど | FIDO対応SSHを使う開発 |
USB-C対応の3製品はいずれもFIDO2に対応しますが、追加機能は異なります。ログインには、サービス、ブラウザ、端末それぞれの対応が必要です。
販売価格は時期や取扱店で変わります。購入時に表示される金額を目安にしつつ、予備キーも含めた費用を考えておくと、その後の運用まで見通しやすいですよ。
開発環境の認証
FIDO2はWebサービスへのログインに使われる認証の仕組みです。ブラウザ側のWebAuthnと端末がキーと通信するCTAPなどが連携し、登録済みの鍵で本人確認します。
パスワードを入力して送る方式とは異なり、認証情報は登録先に結び付いています。偽サイトにパスワードを入力する事故を避けやすく、開発者アカウントの保護に役立ちます。
セキュリティキーはパスワードレス認証にも、パスワードに追加する二段階認証にも使えます。利用できる方式はサービスの対応状況やアカウント設定で変わるので、導入先を先に確認しましょう。
端末内に保存するパスキーとUSBキーに登録するパスキーは、同じFIDOの仕組みを使っても保管場所が異なります。物理キーがあれば、開発端末とは別の認証手段を用意できます。
Security Key C
Yubico Security Key C NFCはFIDO2／WebAuthnとFIDO U2Fに対応するシンプルなモデルです。USB-CとNFCを備え、Google、Microsoft、Apple、AWS、GitHubなどの対応サービスで利用できます。
Windows 10以降・macOS 10.15以降・Linux・ChromeOSに加え、iOS 14以降とAndroid 5以降に対応しています。Chrome、Edge、Firefox、Safariなど複数のブラウザでも使えるため、OSをまたぐ開発者にも扱いやすいでしょう。
ワンタイムパスワードには対応していません。FIDO2／WebAuthnやU2Fによる認証を主に行う人に合うモデルです。OTPもキーで使いたいなら、追加機能を備えた製品を選べます。
本体は45×18×3.3mm、重さは3gです。電池不要でIP68相当の耐久性があり、メーカー限定保証は1年。小型のUSB-CキーをFIDO認証に使いたい人に合います。
Yubico Security Key C NFC
Amazonで探すYubiKey 5C
YubiKey 5C NFCはWeb認証に加えて、Yubico OTPやOATH-TOTP／HOTP、PIV、OpenPGPに対応します。開発用アカウントの認証から証明書や暗号鍵の運用まで、一つのキーにまとめたい人には頼れるモデルです。
FIDO2パスキーは最大100個、OATHは最大64個保存できます。複数サービス用の情報を登録できる容量です。必要なプロトコルが揃っているかも確認しておきましょう。
USB-CとNFCでPC・モバイルの双方に対応し、Windows、macOS、ChromeOS、Linuxで利用できます。本体は45×18×3.7mm、重さは4.1g。IP68に対応し、電池不要でファームウェアは5.8です。
Security Key C NFCとの違いは、FIDO以外の機能を使うかどうか。OTP、PIV、OpenPGPを使わないならシンプルなモデルで足ります。用途が広がりそうなら5C NFCが便利です。
Yubico YubiKey 5C NFC
Amazonで探すTitan Security
Google Titan Security KeyはFIDO2とFIDOのオープン標準に基づくセキュリティキーです。Google設計のファームウェアがキーの整合性を検証し、専用のセキュアエレメントも搭載しています。
USB-CとNFCに対応し、PCではW3C Web Authenticationに対応するChrome・Firefox・Opera・Edge・Safariで利用できます。Android 9以降とiOS 13.3以降に対応し、iPhoneではNFC接続が可能です。
Googleアカウントを中心に守りたい人や、高度な保護機能プログラムを使う人にはこのモデルが合います。日本のGoogle Storeでも購入できます。Googleサービスを主に使うなら、目的が分かりやすい製品です。
開発で使うサービスがFIDO2キーに対応しているかは先に確認しましょう。Googleアカウントの保護を優先する人にはTitanが有力です。
Google Titan Security Key
Amazonで探すPIN+ Release3
Token2 PIN+ Release3.3はFIDO2.1に対応し、USB-AとNFCで接続します。USB-Cポート中心の機材では変換アダプターが必要になるため、開発PCやドックにUSB-Aポートがあるか確認しておきましょう。
FIDO対応SSHでecdsa-skとed25519-skが使える点が特徴です。FIDO2.1のresident keyを最大300個保存でき、PINには6桁以上の複雑さを求めるポリシーがファームウェアで適用されます。
TOTP、HOTP、PIV、OpenPGPにも対応します。ただし、TOTPコードの生成には対応アプリが必要です。利用するアプリも合わせて用意してください。
FIDO2 L2認証で、電池もネットワーク接続も不要です。USB-A環境でSSH鍵やresident keyを使う開発者には機能が揃っています。USB-Cだけの環境なら変換アダプターを介して接続してください。
Token2 PIN+ Release3.3
Amazonで探す結論
USB-CとNFCでWebのFIDO認証を始めるなら、Security Key C NFCが分かりやすい選択です。OTPやPIV、OpenPGPも使う予定なら、YubiKey 5C NFCが役立ちます。
Googleアカウントの保護を強化したい人にはTitan Security Keyがおすすめです。FIDO対応SSHをUSB-A環境で使う開発者にはToken2 PIN+ Release3.3が合います。必要な機能で判断しやすい組み合わせです。
購入後は主要なアカウントにキーを登録しましょう。予備キーと復旧手段も整えれば、紛失時の備えになります。開発PCのポート、スマートフォンのNFC、使うサービスのFIDO2対応が揃えば、パスキー運用を始められます。
Amazon の PC をスコア化してみた
Amazonにある8〜14インチの小型WindowsタブレットやノートPCを、スペック別にスコア化して比較・ランキング。
