lef/HAYASHI, Tatsuya

Google認証システムの「同期を切らないと乗っ取られる」 という話が回っていますが、切る前にやることが3つあります まず「Googleアカウントを乗っ取られたら、全サービスのコードも一緒に取られる」ということ自体は本当です Google認証システムはコードをGoogleアカウントに同期していて、暗号化はされていますが鍵はGoogleが持っています エンドツーエンド暗号化は2023年に予告されたまま、まだ入っていません なのでGoogleアカウントを乗っ取られると、犯人はそのアカウントで認証システムにログインするだけで、全サービスの2段階認証コードを手に入れることになります Chromeに保存したパスワードも同じアカウントに入っているので、一緒に見られます（パスワードマネージャーの「オンデバイス暗号化」をオンにしている人は別） 「Driveに保存したパスワード」ではなく、Chromeやスマホで保存したパスワード（Googleパスワードマネージャー）の話です ※そもそもパスワードはDriveに保存しないでください ただ、同期を切るとコードはそのスマホ1台だけになりますので、そのスマホを失くした時点で、認証システムを登録している全サービスから締め出されます 切るなら順番は下記です 1. 各サービスのバックアップコードを保管する バックアップコードは、認証アプリが使えなくなった時のための使い捨ての鍵で、2段階認証を設定しているサービスの「セキュリティ」や「2段階認証」の設定画面から出せます（Googleアカウントなら セキュリティ→2段階認証プロセス→バックアップコードが10個出ます） 使ったコードは無効になるので、残りが減ってきたら作り直す 保管は紙に書いてスマホと別の場所か、パスワード管理アプリ スマホの写真やメモに入れると、スマホと一緒に失くします スマホの写真で保管の場合はクラウド（iCloudやGoogleフォト）に自動でバックアップされたりして危険 サービスによってはバックアップコードが無いので、その場合はパスキーやSMSなど別のログイン方法を先に設定しておく （SMSは最後の手段。安全な順はパスキー＞認証アプリ＞SMS） 2. 予備のスマホにコードを移す 今のスマホの認証システムで、左上の ≡ → コードを移行 → コードをエクスポート → 移すアカウントを選んで「次へ」でQRコードが出ます（数が多いとQRが複数枚になります） 予備のスマホに認証システムを入れて、最初の画面で「アカウントなしで使用」を選び、≡ → コードを移行 → コードをインポート → QRコードをスキャン で読み取る このQRにはコードの元になる秘密の値が全部入っているので、スクショを撮らない、人に送らない、読み取ったら画面を閉じる エクスポートしても今のスマホからコードは消えないので、両方で同じコードが出れば成功です（これは機種変更した時も同じように移行できます） 3. 最後に同期を切る 右上のプロフィール → 「アカウントなしで認証システムを使用する」→ 続行 これでGoogleアカウント側に保存されていたコードは全部削除されて、今のスマホの中だけに残ります 右上の雲のアイコンに斜線が入れば、切れています 以降は機種変更のたびに2の手順で自分で移す必要があるので、予備のスマホが無い人は、切らずにGoogleアカウントのセキュリティをパスキーかセキュリティキーで頑丈にする選択もあります それと、エンドツーエンド暗号化で同期できる別の認証アプリに移す手もあります iPhoneなら標準の「パスワード」アプリの確認コードはiCloudキーチェーンで同期されて、こちらはエンドツーエンド暗号化です ただそれは別の話なので、この投稿はGoogle認証システムを使い続ける人向けです