切断の仕組み：スマートフォンの秘密のハンドシェイク
Google Authenticator、Microsoft Authenticator、Authyなどの認証アプリが、機内モードなどで完全にオフラインの状態でも、刻々と変化する6桁のコードを生成できる仕組みを不思議に思ったことはありませんか？まるで魔法のように感じるかもしれません。
その秘密は、RFC 6238で規定されている「Time-based One-Time Password (TOTP)」という洗練されたオープンスタンダードにあります。この規格は安全なオフラインでのコード生成のために精密に設計されており、アクティブなインターネット接続なしでコードが機能します。
オンラインサービスで2FAを初めて設定する際（通常はQRコードをスキャンします）、デバイスとサービスの間で重要なやり取りが行われます。両者は、固有の暗号化された「共有秘密鍵（shared secret key）」を確立し、共有します。
スマートフォンは、この秘密鍵をローカルに安全に保存し、二度と外部に送信することはありません。オンラインサービス側も同様のコピーを保持します。つまり、デバイスとサービスの両方が、同じ基礎情報を保持していることになります。
ネットワークを経由して届くSMSコードとは異なり、TOTPコードはデバイス上で完全に生成されます。認証アプリは、保存された共有秘密鍵と、30秒単位に分割された現在時刻を使用して、6桁のコードを決定論的に計算します。
このプロセスでは、コード生成のためにネットワーク通信を行う必要はありません。スマートフォンとサーバーは、共有秘密鍵と適切に同期された時計のみを頼りに、同じタイミングで同じ正しいコードをそれぞれ独自に計算します。
アルゴリズム：タイムトラベルするコード生成器
これは、スマートフォンとサーバーだけが知っている「秘密のレシピ」のようなものだと考えてください。認証アプリは、2FAの初期設定時に確立した静的で固有の「共有秘密鍵」と、動的な「現在時刻」という2つの重要な要素を組み合わせます。この時刻は連続した流れではなく、30秒ごとの明確なウィンドウに分割されており、コード生成のための特定の「タイムスロット」を作り出しています。
スマートフォンとサーバーは、この2つの入力（固有の秘密鍵と現在の30秒のタイムウィンドウ）を「全く同じ暗号学的ハッシュ関数」に入力します。この数学的な魔法により、画面に表示されるおなじみの6桁のコードが決定論的に生成されます。重要なのは、この結果を得るためにデバイス同士がネットワークを通じて通信する必要がないという点です。
時計が適切に同期されていても、「クロックドリフト」と呼ばれるわずかな誤差が生じることがあります。コードを確実に機能させるため、サーバーは通常、わずかな猶予期間を設けています。現在の30秒ウィンドウのコードだけでなく、前後30秒のウィンドウのコードも受け入れることが一般的です。この組み込みの柔軟性は、スムーズなユーザー体験のために不可欠です。
設計によるオフライン：これはバグではなく機能である
TOTPのオフライン機能は単に便利なだけではありません。これはセキュリティを大幅に向上させるものであり、SMSベースの2FAよりもはるかに信頼性が高いと言えます。SMSコードはライブネットワーク接続を必要とするため、犯罪者が電話番号を乗っ取るSIMスワップ攻撃に対して脆弱です。一方、TOTPコードはデバイス上で安全に生成され、ネットワーク傍受の可能性から切り離されているため、認証が携帯電話の電波状況や通信事業者のセキュリティ上の欠陥に左右されることはありません。
TOTPの強みの核心は、その堅牢なセキュリティモデルにあります。お客様固有のshared secret keyは、初期設定後はデバイスから離れることはなく、オンラインの脅威から隔離されたままとなります。この重要な情報はデバイス内に留まります。生成される各コードは、わずか30秒間のみ有効なone-time passwordであり、たとえ攻撃者が有効期限前にコードを傍受したとしても、悪用の機会を大幅に制限します。
この強力なオフライン機能は独自の魔法ではなく、open standardであるRFC 6238に基づいています。この公開仕様により、透明性、ピアレビュー、そしてインターネット全体での幅広い互換性が保証されています。その結果、Google Authenticator、Microsoft Authenticator、Authyなどの一般的な認証アプリは、ソーシャルメディアから銀行サービスまで、数え切れないほどのサービスでシームレスに機能するコードを生成できます。この標準の詳細については、What is a Time-based One-time Password (TOTP)? - Twilioをご覧ください。
この記事が気に入ったら、毎朝同じようなものをメールで受け取れます。
1日1通 · 2クリックで解除 · サードパーティのトラッキングなし
TOTPの先へ：フィッシングに強いログインの未来
巧妙なオフライン設計であっても、TOTPはあらゆる攻撃に対する完璧な盾ではありません。高度なフィッシングキャンペーンでは、ユーザーを騙して、リアルタイムで悪意のあるサイトに時間制限付きコードを入力させる可能性があります。偽のログインページがコードを即座に正規のサービスへ中継できれば、認証アプリ自体がオフラインであっても、二要素認証を回避されてしまいます。
幸いなことに、セキュリティ環境は常に進化しています。業界のリーダーたちは、FIDO2やpasskeysといった、より強力でphishing-resistantな標準を急速に取り入れています。共有秘密鍵と時間に依存するTOTPとは異なり、これらの次世代手法は公開鍵暗号方式を採用しています。これらは、ログイン情報と正規のWebサイトのドメインとの間に、暗号学的に結びついた独自の接続を確立し、なりすましサイトでコードが機能することを効果的に防ぎます。
つまり、デバイスが認証前に正規のドメインを検証するため、フィッシングサイトは単に資格情報を「中継」することができません。これは信頼の確立方法における根本的な転換であり、認証を共有秘密鍵から暗号学的に検証されたハンドシェイクへと移行させるものです。
現時点では、TOTP認証アプリを使用することは、脆弱なSMSベースの2FAに対する重要なセキュリティアップグレードです。SMSはSIMスワッピングの影響を受けやすく、ライブネットワーク接続を必要とするため、TOTPのオフラインでの独立性に比べて本質的に安全性が低いことを覚えておいてください。backup codesは、必ず安全なオフラインの場所に保管してください。これらは、認証デバイスを紛失または破損した場合の命綱となり、アカウントのロックアウトを防ぎます。
よくある質問
なぜ認証アプリは機内モードでも機能するのですか？
これはTime-based One-Time Password (TOTP)アルゴリズムを使用しており、事前に共有された秘密鍵と現在時刻を使用してコードを生成するためです。このプロセスにはインターネット接続は必要ありません。
2FAにおける「shared secret key」とは何ですか？
これは、セットアップ中にQRコードを介して交換される固有のデータであり、お客様のデバイスとサービスのサーバーの両方に保存されます。双方がこれを使用して、全く同じ時間制限付きコードを生成します。
認証アプリ（TOTP）はSMS 2FAよりも安全ですか？
はい、TOTPの方が大幅に安全です。一般的なSIMスワッピング攻撃に対して脆弱ではなく、オフラインでも確実に機能します。一方、SMS 2FAは傍受される可能性があり、携帯電話ネットワークを必要とします。
2FAをセットアップするにはインターネット接続が必要ですか？
はい。初期設定では、サービスのサーバーと認証アプリの間でshared secret keyを安全に生成・交換するためにインターネット接続が必要です。