WhatsApp パスキー: Android または iPhone での使用方法

WhatsApp は設立以来、アカウント登録に SMS ベースの OTP を使用してきました。 ただし、SMS 経由で認証コードを送信すると、セキュリティに影響が出る可能性があり、ネットワークの通信範囲が狭い地域では配信が失敗するリスクがあります。

Meta はこれを認識し、ユーザー認証における SMS ベースの OTP への依存を排除​​し、プロセスをより簡単かつ安全にする認証メカニズムである WhatsApp Passkeys を導入しました。 Android や iPhone での設定方法など、WhatsApp パスキーについて知っておくべきことはすべてここにあります。

WhatsApp パスキーとは何ですか?

WhatsApp パスキーは、アカウント登録時に携帯電話の PIN または生体認証 (指紋または顔認識) を使用して自分自身を認証できる認証メカニズムです。 これは Apple や Google のパスキーと同様に機能しますが、この場合は、SMS ベースの OTP の欠点による依存を減らすという考え方が異なります。

WhatsApp パスキーの動作原理はシンプルです。 アカウントでこの機能を有効にするとすぐに、アカウントの秘密鍵と公開鍵のペアが生成され、公開鍵は WhatsApp サーバーと共有され、秘密鍵はデバイスに安全に保管されます。

次に、デバイスでアカウント登録を開始すると、WhatsApp は、デバイスのセットアップ時の設定に応じて、携帯電話の PIN を入力するか、顔や指紋をスキャンして身元を確認するように求めます。 認証が完了するとキーが照合され、WhatsApp アカウントにログインします。

WhatsApp パスキーを使用する必要があるのはなぜですか?

WhatsApp Passkeys はオプトイン機能として利用できるため、好みに応じて使用するか無視するかを選択できます。 ただし、SMS ベースの OTP 検証よりも優れた認証方法であると言えます。

まず、SMS 経由で認証コードが届くのを待って入力する必要がなくなるため、プロセス全体がスムーズになり、時間を節約できます。 同様に、認証は SMS に依存しないため、携帯電話の電波が届かない場所にいる場合でも、WhatsApp に登録できます。

最後に、WhatsApp Passkeys は既存の方法よりも安全です。 このメカニズムでは秘密鍵と公開鍵を使用してユーザーを認証するため、SMS ベースの検証に伴うフィッシング攻撃やソーシャル エンジニアリング攻撃のリスクが最小限に抑えられます。

WhatsApp アカウントにパスキーを設定する方法

WhatsApp パスキーは Android と iOS の両方で利用できます。 デバイス上のアプリを更新し、以下の手順に従って機能を設定するだけです。 ただし、その前に、デバイスに画面ロックが設定されていること、および携帯電話の設定で好みのパスワード マネージャーがデフォルト オプションとして設定されていることを確認してください。

1. Android または iPhone で WhatsApp を開きます。
2. Android の場合:右上隅にある 3 点ボタンをタップし、 [設定]を選択します。
   iPhone の場合:下部にある[設定]タブをタップします。
3. [アカウント] > [パスキー]に移動します。
   
4. [パスキーの作成] (iPhone の場合) または[パスキーの作成] (Android の場合) ボタンをタップします。
   
5. WhatsApp のパスキーを保存する場所を選択するように求めるダイアログ ボックスが画面に表示されます。 [続行]をクリックして Google パスワード マネージャーを続行し、アカウントをタップしてパスキーを保存します。 Samsung 携帯電話では、WhatsApp はデフォルトでパスキーを Samsung Pass に保存するように求めます。
   
6. あるいは、他のパスワード マネージャーを使用している場合は、WhatsApp パスキーをそこに保存することもできます。 ダイアログボックスで「別の方法で保存」をタップし、パスワードマネージャーを選択するだけです。
   
7. 最後に、デバイスに応じて、顔、指紋、または PIN を使用して本人確認を行います。
   

WhatsApp パスキーを設定すると、次回 WhatsApp に電話番号を登録するときに、SMS ベースの OTP を提供する必要はありません。 代わりに、WhatsApp は携帯電話の PIN または生体認証を使用して身元を確認するように求めます。 これをやれば入ります。

WhatsApp パスキーを無効にする方法?

WhatsApp パスキーを認証に使用しないことにした場合は、いつでもオプトアウトできます。 WhatsApp のパスキー設定ページに戻り、登録したパスキーの下にある[取り消し]ボタンをタップするだけです。 確認を求められたら、もう一度「取り消し」を押して削除を確認します。

これを行った後、身元を確認するために登録時に WhatsApp から送信される SMS ベースの認証 OTP を入力する必要があります。

WhatsApp でのパスキーの使用について他に知っておくべきことは何ですか?

WhatsApp Passkeys はセットアップも使用も簡単ですが、知っておくべきことがいくつかあります。

• WhatsApp ではパスキーを好みのパスワード マネージャーに保存できますが、これを書いている時点では、すべてのパスワード マネージャーがパスキーをサポートしているわけではありません。 たとえば、Bitwarden パスワード マネージャーにパスキーを保存することはできません。
• デバイスに WhatsApp パスキーを設定すると、WhatsApp はパスキーを生成し、選択したパスワード マネージャーに保存します。 パスワード マネージャーは、インストールしたすべてのデバイスでパスキーを自動的に同期するため、どのデバイスでもパスキーにアクセスできます。
• WhatsApp パスキーは、従来の SMS ベースの OTP 認証方法に代わるものではありません。 これはオプトイン機能としてのみ利用可能で、気に入らない場合はオプトアウトすることも、単に無視してアカウントで SMS ベースの認証を使い続けることもできます。
• WhatsApp パスキーはプライマリ デバイスで利用でき、アカウント登録中にのみ機能します。 これは、WhatsApp では、既存または新しいリンクされたデバイスにログインするために QR コードをスキャンする必要があることを意味します。

二要素認証を使用して WhatsApp アカウントをさらに保護する

パスキーの流行にメタが便乗することは、WhatsApp ユーザーにとって良いことです。 確かに、WhatsApp は常に身元確認を要求するわけではありません。 しかし、そうなった場合には、パスキー機能を使用すると、迅速かつ安全に通過できるようになります。

さらに、セキュリティを重視する場合は、2 要素認証を有効にして、アカウントにセキュリティをさらに強化することができます。 これを行うと、アカウントへの不正アクセスを防ぐために、WhatsApp は定期的 (週に 1 回)、および WhatsApp に電話番号を再度登録するたびに、6 桁の PIN を要求します。

要約すると、WhatsApp パスキーの長所と短所は次のとおりです。

長所:

• セキュリティの強化: 秘密鍵と公開鍵の暗号化を利用し、SMS ベースの OTP に関連するフィッシングやソーシャル エンジニアリング攻撃のリスクを軽減します。
• 利便性: SMS の配信を待ったり、コードを手動で入力したりする必要がなくなり、登録プロセスがより速く、よりスムーズになります。
• 信頼性: 携帯電話の通信範囲が狭い地域でも動作し、ネットワークの可用性に関係なくユーザーが WhatsApp に登録できるようにします。
• 生体認証との統合: ユーザーはデバイスの生体認証方法 (指紋または顔認識) を活用して、利便性とセキュリティを強化できます。
• オプトイン機能: ユーザーは、好みやセキュリティのニーズに基づいて WhatsApp パスキーを有効または無効にするかを選択できます。

短所:

• デバイス セキュリティへの依存: ユーザーはデバイスで画面ロック セキュリティを有効にする必要があり、デバイス メーカーが実装するセキュリティ対策に依存します。
• パスワード マネージャーの限定的なサポート: すべてのパスワード マネージャーがパスキーの保存をサポートしているわけではないため、パスキーを安全に保存するためのユーザー オプションが制限される可能性があります。
• オプトインの性質: WhatsApp パスキーは必須ではなく、すべてのユーザーが利用できるわけではないため、一部のアカウントが SMS ベースの OTP 関連のセキュリティ リスクに対して脆弱になる可能性があります。
• 制限された機能: アカウント登録中にのみ機能し、既存または新しくリンクされたデバイスにログインするための QR コード スキャンなどの他の認証方法に代わるものではありません。
• 手動再登録の必要性: ユーザーがパスキーを取り消す場合は、SMS ベースの OTP 認証を使用して手動で再登録する必要がありますが、これは一部のユーザーにとって面倒な場合があります。