ACCOUNT SECURITY ／実務ガイド

ブラウザ拡張機能で使う多要素認証

認証アプリに対応するサービスでは、パスワードに加えて、一定時間ごとに変わる認証コード（TOTP）を求められることがあります。対応するブラウザ拡張機能を使うと、登録した秘密鍵からPC上でコードを生成できます。

中小企業では、全社員に会社のスマートフォンを支給するのが難しく、私物のスマートフォンを業務の認証に使いにくい場合もあります。認証アプリ方式に対応しているサービスなら、会社が管理するPC上で認証コードを生成できるブラウザ拡張機能も選択肢です。導入前に、同じPCにパスワードと認証手段を置くリスク、拡張機能の権限、PCの故障や交換時に認証を復旧する方法を確認しましょう。

業務で使う前に、アカウントの重要度で方法を選ぶ

同じPCやブラウザにパスワードと認証コードの生成手段を置くと、その環境が侵害された際に両方を失うおそれがあります。管理者や重要な業務アカウントには、利用先が対応していれば、フィッシングに強いパスキーやセキュリティキーを優先します。TOTPのコードは偽のログイン画面に入力すると盗まれる可能性があります。

管理人の実体験

私物スマホを使いにくい社員に、PCで認証する選択肢を

社内で多要素認証を導入するとき、私物のスマートフォンにAuthenticatorを入れて業務に使うことに抵抗がある社員がいました。そこで、そうした社員も多要素認証を使えるよう、PCのブラウザ拡張機能で認証コードを生成する方法を導入しました。個人のスマートフォンを業務に使うことを前提にせず、認証手段を用意するためです。

同じPCにパスワードと認証コードを生成する手段を置く場合は、PCが侵害されたときの影響も考える必要があります。導入を検討する場合は、拡張機能の権限やPC交換時の復旧方法も確認してください。

Microsoft 365の多要素認証必須化と準備手順を読む →

設定手順

認証アプリ方式に対応したサービスでの例です。サービスと拡張機能によって画面の表示は異なります。

社内で許可された拡張機能を入れる。 開発元の公式サイトから正規ストアに進み、提供元と要求される権限を確認します。
利用するサービスで認証アプリ方式を選ぶ。 正規のログイン先で設定を開き、登録用のQRコードを表示します。
拡張機能に登録する。 QR読み取り機能で画面のコードを読み取るか、対応していれば設定キーを手入力します。QRコードと設定キーは認証コードを作る元になるため、画像やチャットで共有しないようにします。
表示されたコードで登録を完了する。 サービスの確認欄にコードを入力し、登録完了を確認します。回復コードや予備の認証手段を確保してから、別ウィンドウなどで再ログインを試します。

画面付きの操作例　Authenticator Extension 開発元の手順（英語） ↗

ひとり情シスが決めておくこと

導入できる環境: 会社が管理する端末とブラウザに限定し、承認済みの拡張機能を指定します。サイトへのアクセス権限は、機能に必要な範囲に絞ります。
同期・バックアップ: 拡張機能のデータがどこに保存・同期されるか確認します。回復コードやバックアップを保管する場合は、業務用の保管先でアクセスを制限します。
故障・紛失・退職: PCの交換やブラウザの初期化に備え、本人確認から認証の再登録までの手順を決めます。秘密鍵の漏えいが疑われる場合は、サービス側で旧登録を無効にして新しい鍵で登録します。

参照資料　Google Chrome ヘルプ「拡張機能をインストールして管理する」 ↗ ／ CISAのフィッシング耐性のある認証に関する資料（PDF・英語） ↗