ラベル オフライン の投稿を表示しています。 すべての投稿を表示
ラベル オフライン の投稿を表示しています。 すべての投稿を表示

2025年12月14日日曜日

パスキー:::Googleアカウント｜オフラインで出来た部分｜Yubikey Manager｜初心者｜物理キー　

　パスキーの設定をしてみて調べたこと・実際の失敗例など困ったポイントのメモを残しますが、殆ど初心者によるものです。自分と同様あまり詳しくない人に参考になりましたら幸いです。

　特にオフラインで作れないのかと思って調べて色々試してみたりしました。
（一応、FIDOのみのキーだと出来ていたのかもしれませんが、部分的な話でした。
企業の業務などに対してのオフライン設定だったみたいです。）

ｍｅｎｕ


　

　

１：　パスキー・Yubikeyの種類｜言葉の意味について

　名前も覚えられなくて困っていますが、役割や意味も分からなくて困る（だから難しく感じる）ので、言葉の意味（初心者向け）から調べました。
因みにヤヤコシイ事に、以下の「ＦＩＤＯ　Ｕ２Ｆ」と「ＦＩＤＯ２」は同じものではないらしいです（「２」が新しいというだけですけど･･）。

  • TOTPーーー Time-based One-time Password。Authenticatorなど、通常は６桁の番号が１分毎くらいに変わる物を指す。ＯＴＰとも呼ばれる。
  • Web　Authn　（WebAuthn：ハードウェアに紐付いたパスキー）
  • FIDO U2Fーーー Universal 2nd Factor (U2F) U2F は、FIDO認証を用いることでセキュリティを向上。USBなどを使った２段階認証。以下のFIDO2が新しいので名前は似ているが性能は違うもの（FIDO2はFIDO U2Fを基にしたプロトコル、パスワードレス、セキュリティレベルが高い認証方式 ）。
  • FIDO2（Fast Identity Online 2）－－－　「Fast IDentity Online」の略称。FIDO AllianceがWorld Wide Web Consortium（W3C）と提携して開発したパスワードレス 認証のオープン・スタンダードで 、パスワードに代わるオンライン認証技術の標準規格。FIDO2は2018年にリリースされ、2014年にリリースされた最初のFIDO標準であるFIDO 1.0に代わるものです。
    上記のFIDO U2Fよりも新しく付加機能があり。Web Authentication（WebAuthn）とClient to Authenticator Protocol 2（CTAP2）の2つのプロトコルで構成。
  • NFC－－－かざすと読み取るタイプで、こちらでｉｏｓも使えるみたいですが、上手くいかないという人が結構いる様です。ＩＯＳに限り、２つのキーが必ず必要という説明も見かけます（調査中）。
  • プロトコルーーー手順・通信規約・規格・複数間でのコミュニケーション言語・ルール・考え方・手段・お約束・マナーなどを示す言葉で、元々は「人間同士のやりとり」に関する用語。
　パスキーに加えて、パスワードマネージャーも使わないとスムーズには出来なかったのかもですが、

パスワードマネージャーでよく耳にするのは、
  • 1password
  • bitwarden
　全てのwebサービス、アプリ、ソフト、デバイス、ブラウザなどがFIDO2に対応出来ていないので、使えるサービスも未だ身の回りには少ない気がします。
認証デバイス（物理キー）を必要とするため、予備が勧められ２つ用意しないといけないので、費用も問題になります。だから、なかなか行き渡らない・・

　調べていたもの比較


  1. Yubico Security Key C NFC Yubico シンプル・トークン（FIDOのみ） 2021 4.3 100 ーーーFIDO2と書いてなかったので、確認必要。
  2. Authenton#1 Authenton 拡張トークン（マルチプロトコル） 2023 5 300 パスキー
  3. Token2 T2F2-Dual PIN+Octo Token2 拡張トークン（マルチプロトコル） 2024 10 300 パスキー
　以下２つは楽天やアマゾンでよく見かけますが、２０１８年の発売のもの。
  • Yubico YubiKey 5C NFC Yubico 拡張トークン（マルチプロトコル） 2018 4.3 100 パスキー
  • Google Titan Security Key Google / Feitian シンプル・トークン（FIDOのみ） 2018 77 250 パスキー
下の２つは２０２０年製
  • OnlyKey Duo OnlyKey 拡張トークン（マルチプロトコル）
  • Yubico の生体認証の パスキー では、FIDO2のみで使えるそうです。
　まあ、今更・・って言われそうな話ですけど。。
ファームウェアが更新出来ないので買い替えするしかない物があるのだそうで、
通常の使用には直ちに危険ではないという評価があるものの（会社の業務レベル？）、
５年以上前のものに１万円も出すのは厳しいですね。。

　

２：　オフラインで使いたい理由｜設定出来た部分のこと；事例

　調べても、yubikeyを「オフラインで」という話題は極少で、普通はオンラインで使っている人が多そうではありますが、
もしoff-lineで使っても、それをわざわざ話題にする人もいない気がします。
セキュリティの事なので心配症（自分も）なら恐らく隠したくなるのでは。。それを裏付ける様に
発売から数年経っていても未だ素人の体験談が余りなさそうなので。開発者側の話が多く敷居は高いですが、
自分でも出来るような簡単な方法がないかと調べました。
　パスキーが「オフラインで設定することが必要」と思ったきっかけは、１～２年前くらいに
どこかで「yubikey　オフライン」という文字列を見かけた事からです。
　「オフラインで使えるなら、それは安全しかない」「それなら安心だ、使いたい」と、
結構な時間をかけて随分と調べて辿り着きましたが・・。
結局はエラーでどうしようもなくなりオンラインで設定してしまいました。
ＡＩに聞けば良かったのですが、パソコンの中の事（手の内）を沢山知られたくないのでググりました。

　「オフラインで出来ていた」のはどういうことかと、素人の気のせいではなく以下の通りです。
Windows Helloをローカルのみで設定する分には完全にオフラインで行いましたが
ＰＩＮを２回入力したのでYubikeyの初期設定も出来ていました（ちゃんと光ってタッチも済）
しかし、Yubikey Managerをインストールしてしまっていたので
それを使おうとするとオフラインでは出来ない旨のメッセージ「Yubikeyへの接続に失敗しました。アプリケーションに必要な権限があることを確認してください。」「 YubiKey Manager FIDO2 Failed 、「Failed connecting to the YubiKey. Make sure ...」が出て、
ＦＩＤＯの設定を開くことも出来ませんでした。（管理者として実行していないエラーでした。）
但し、キーのＰＩＮを間違えた回数はきっちりカウントされていたので、「オフライン設定出来ていた」のです。
（なにも使っていないのに、「残り、６回」と表示されていた。
そこで、ｐｉｎの変更を行うと間違いのカウンターが「残り、８回」に戻りました。）
但し、そのままGoogleなどの設定は使えたかもしれない。（FIDOのみであれば。
yubikey　managerは2段階認証のみの使用なら不要でややこしいだけでした。
殆どの人がナシで行って簡単だったと言っています。

以下は、少し似たような話だと思ったのでRedditから引用します。
パスキーのサポートを追加する前は、GoogleはFIDO2キーにPINを要求していませんでした。それが、今は要求するようになっています。新しいキーをPINなしで追加したい場合は、まずYubiKey ManagerでFIDO2を無効にする必要があります。一方、セキュリティキーにPINを設定していれば、Googleのパスワードなしでログインできるかもしれません。

３：　パスキーの手順で困ったこと：Yubikey Manager｜Googleアカウント他

　手順ではなく注意点です。
  • 3-1 Ｙｕｂｉｋｅｙ　Ｍａｎａｇｅｒ
    • 　もし、ＦＩＤＯではなく　「５」などの機能の多いキーだとこのアプリを使う方が良いみたいですね。
    そして、殆どの一般的な登録方法では
    「ソフトのインストールなど必要なくキーを刺すだけで出来ます」という説明がとても多いのですが、
    もし「使う」のであればこれを一番最初に登録しないとおかしなことになります。多分。
    方法は公式サイトの「Yubikey Manager」のページで下の方に画像入りで説明があります。
    自分が分からなかったところは
  • 3-2　Ｇｏｏｇｌｅアカウント：ローカル（デバイス）版
    • 設定というページ　＞　googleの設定　＞　googleアカウントの管理　＞　白い画面が開く　＞　セキュリティとログイン　＞　下へスクロールすると
    「ログイン方法を追加できます」という文字の下に
    「パスキーとセキュリティキー」というリンクをクリックし、「パスキーを使用」というリンクが右上には青いバナーボタン、
    下のほうにもリンクがあります。この２つは意味が違うらしく
    上の方には左側に
    「このデバイスでのパスキーの作成 このデバイスでパスキーを作成すると、次回のログインをすばやく行えます」
    と書いてあります。
  • 3-3　Googleアカウントのスマホ・ＰＣなど複数を同期する・持ち歩きタイプ
    • 　上記のＧｏｏｇｌｅアカウント：ローカル版と途中まで同じ設定の画面で、
    使っているデバイスのみでなく他の機種（chromebook・ipadなど）にも互換性を持ちたい場合は以下の通り、下の方のリンクから設定・追加します。
    とのことですが、初めて見る画面だと間違う可能性があります。
    自分は全く知らずに登録してしまいました。。AI（Gemini）に２つともやっておいても良いのか聞くと「推奨」だそうです。
    （確か、１００個（googleは２５０個）くらいのパスワードの保存が出来ますよね・・）

    参考：

    　その他、これはアカウントの設定で確認するだけで良いかもしれませんけど、
    「Google アカウントのパスワードとパスキーを使用、保存する オンにすると、パスワードは〇○○＠gmail.comに保存されます。オフにすると、パスワードはこのデバイスのみに保存されます。」

    というものをオンにしておくとyubikeyを紛失したりログイン出来ない場合にスマホなどから復帰できるみたいです。（・・で合ってます？）
  • 3-4　Ｗｉｎｄｏｗｓ　Ｈｅｌｌｏ
    • 　windowsの方法は沢山出てくるので割愛、困ったパターンのみ残します。（特に、銀行のＨＰのＰＤＦマニュアルが丁寧で詳しい、とても参考になりました。しまぎんの口座を開きたいです。）
    注意すること：ローカルでの操作について
    設定を始める前にWindows10にマイクロソフトアカウントを最低1つ以上用意しておいてください。 ローカルアカウントのみだと初回設定時に確実にログインできなくなります。 (インストール後再起動を求められるが、Yubikeyが設定できないので、普通にログインできなくなります。)

    復元ポイントというものはあるそうですが、とても大変だそうです。ここは特に注意が必要です。

　

４：　調べて考えた：必要な環境・準備・予備｜安全な理由｜メリット

　パスキーを使うのに必要な環境と準備・手順について、
appleの公式と某銀行・某大学で勧められていたキーの情報などから参考にしました。
  1. FIDO® Certified*（ＦＩＤＯ２） のセキュリティキーを少なくとも 2 つ用意すること。（１つの場合はリカバリフレーズなど複数の方法を保存）
  2. 使用する機種・端末に対応のバージョンのＯＳがインストールされていること。 
  3. 利用するアカウント に 2 ファクタ認証が設定されていること。
  4.  最新の Web ブラウザ。Web でセキュリティキーを使ってサインインできない場合は、ブラウザを最新バージョンにアップデートするか、別のブラウザで試す。 
  5.  セキュリティキーの設定後にサインインする

参考：予備の手段とは

　パスワードの他、
リカバリフレーズ（アカウントのセキュリティ設定で簡単に再発行できる）
バックアップコード（Googleの場合、アカウント設定からダウンロード）
パスキー以外に「パスワード」や「スマホ認証」なども併用可能
「スペアとして、２つないと絶対にダメ」みたいな説明のサイトは、広告を沢山貼っています。
（自分はその為ずっと「もう一つ買わないと設設定できない」と焦っていましたが、そうではない説明もあり。
そこで広告が貼ってある・なしに気付きましたが、２つめを購入寸前でした。）
又は、２つのキーを用意するのは富裕層や業務など企業のシステムを担当している立場の話と思われます。

参考の手順についての悩んだメモ：

ＰＣ・スマホの「本体」にセキュリティキーを設定した後で 利用するサービスの設定を行う。
なので、Windows使っていたら、Microsoftのアカウントでのログインが必要？かと思いましたが、
他のスマホなどの説明では違う感じで彼方此方で見聞きした事もあり「ローカルでできるのでは？」と、調べました。　
まず、Windows に パスワードレスでログオンできる仕組みとして、Windows Hello for Business (WHfB) と パスキー (FIDO2) で比較してみました。

という説明を見たのですが、外のサイトでも「本体の設定」という部分がない説明も多々あったので（沢山あちこち見たので）
因みに、 ロボフォーム という パスキー対応のアプリが出てくるそうですが、不要なら「別のプロバイダを使用」とすれば良いようです。
「初めて Yubikey を使用する場合（新品など）は、PIN を設定」
「WHfB 用」と書かれた方を選ぶと Windows Hello の登録になってしまいます。」
セキュリティキー（YubiKey）を使うには、他の2段階認証（2FA）はオフにするのかと思い（どこかで見た様な記憶）、
それが面倒に感じましたが・・手順を調べていたら「２段階認証をしておく」とありました。
今はchrome以外の使っているブラウザのアカウント作ったりしていないしログインしていないのですけど、
もし例えば、Firefoxでyubikey使いたければアカウント作らないとならないという事ですね。
　そもそも、何もログインなどせずに使えた方が安全な気がするのですが、
その意味で、パスワードマネージャー使ったことないし今後一切使いたくもないです。
考え方がおかしいかもですけど、、ローカルのみで出来ないものか。。

参考：安全な理由｜メリット

　失敗例の検証や疑った見方ばかりしていると利用していてストレスを感じてしまうので
メリット（安全性）を並べたいと思います。
　Yubikeyの安全な理由は、
認証器内にパスキーを保持し、クラウド同期しないため、単一コピーの管理ポリシーに適合

どういうことかというと、
外から読み出すことができない
そのうえ、
万が一、誰かが拾ったとしても設定してあるPINを8～10回間違えるとロックされる 　・ロックされたらリセット以外は一切受け付けなくなる 　・リセットされたら工場出荷時の状態に戻るため認証情報はマッサラになる

　　

５：　どこで使えるのか｜かなり増えている？

　どこで使えるのか、引用ですが以下の他、amazonやメルカリ、楽天が対応（する予定とあったけど、yubikeyのことではないっぽい）しているそうです。
Google、 Microsoftアカウント、 Twitter 、Synology (NAS)、SSH 、GitHub など

　　

６：　失くした時の探し場所

　もし、家族の何か設定したり友人・親戚などにＰＣを貸したり何かしら普段とは違うことをして
分からなくなったりすることもあると思うので（あくまで個人使用の場合）その場合の探し方です・・
パスキーがある場所とは、

ＰＣ・スマホのデバイス内（パスワードマネージャー・ソフト・アプリ・ブラウザ）

物理キー（Yubikey・titanなど）

　特に、アプリ・ソフトはサービスによって結構違うのではないかと思います。。
もし身内なんかに頼まれたらややこしそうなので覚書しています。

　　

７：　あとがき｜参考｜終わり

　日本でも似たような製品はないのか・・と、うろ覚えですがusbのセキュリティキーは昔からあるので、
日本製もありそうだと思って探したり、自分で作成することも可能では･･と簡単な方法があれば良いなと探したりもしました。
それにしても、なぜ日本の会社では作っていないのだろう、
あるのはどこかにある筈だけど話題になっていない･･と思い、何度か調べていましたが。ここ数年。
できたら日本製が使いたかったのです。。
　参考に、以下のロジカルテック株式会社ではＵＳＢのセキュリティキーを昔から作っている様です。
今まで興味がなくて知りませんでしたが、1991年～年季の入った会社ですね。
LOCK STAR-SK ロジカルテック株式会社
https://corp.logicaltech.co.jp › product › lock-star-sk

ほか、日本製で2FAやFIDOなど調べていると、指紋認証のセンサーみたいなパーツ・機械が多く見付かりました。
指紋や顏の認証機器は日本のものを応援したいです。。

　

　何でもローカルで使いたいので、オフラインの方法を中心に調べています。分からないなりに使い方を色々考え試しましたので、
どなたかの参考になりますと嬉しいです。

参考：

パスキーの選び方:::ブラックフライデー｜セキュリティキー｜認証後は外せるのか（共有のデバイスの場合）｜titan｜YubiKey｜購入方法
https://tentakak.blogspot.com/2025/11/titanyubikey.html
Reddithttps://www.reddit.com › r › yubikey › comments › 1i2ea7h › any_way_to_add_new_yubikey_to_google_account 新しいYubikeyをGoogleアカウントに追加する方法はありますか？
ウィキペディアプロトコル - Wikipedia
https://ja.wikipedia.org › wiki › プロトコル
パスキーの種類とセキュリティ強度の違いを整理した
https://qiita.com/halapolo/items/46623b0457dae8507ae2
Zennhttps://zenn.dev › ao_sankaku › articles › 0aec255dec536a で、俺のパスキーは結局どこにあるん？ - Zenn
notehttps://note.com › gadget_hack › n › nb21a240f8732 パスキー保存先の選び方：4つの選択肢を徹底比較 - note
Apple Supporthttps://support.apple.com › ja-jp › 102637 Apple Account のセキュリティキーについて - Apple サポート (日本)
https://ja.wikipedia.org › wiki › FIDO_(認証技術) FIDO (認証技術) - Wikipediaウィキペディア
https://en.wikipedia.org › wiki › Universal_2nd_Factor Wikipedia
Yubikey まとめ（利用可否検証あり） Qiita
https://qiita.com/carol0226/items/1e28bdc3acc4c7814da2
SCSK株式会社 Fido U2fとfido 2の違いとは - 多要素認証用セキュリティキー ...
https://securitykey.scsk.jp › yubikey › 1008
Qiita https://qiita.com › yoshiwatanabe › items › a148fdca08c007e2408c パスキーが良く分からなくて迷子になっている人のための ...
ChatGPTの「良い人フィルター」を外して本音を引き出してみた
https://qiita.com/nolanlover0527/items/83480966029c70ad14d5
パスキー /　Windows 11 へようこそ !
https://wins11.jimdofree.com/%E6%96%B0%E6%A9%9F%E8%83%BD-%E5%90%84%E7%A8%AE%E8%A8%AD%E5%AE%9A/%E3%83%91%E3%82%B9%E3%82%AD%E3%83%BC/#cc-m-12624797912
セキュリティキー（YubiKey）を使っているけど、他の2段階認証（2FA）はオフにするべき？
Yahoo知恵袋 https://detail.chiebukuro.yahoo.co.jp › qa › question_detail › q10321953095
SBI証券でWindows11Helloで指紋・PINで設定しました ...
、「FIDO® Certified Showcase」Ｆｉｄｏアライアンスーーパスワードレスサインインのパスキーアイコン使用契約ーー厳しい
Corbadohttps://www.corbado.com › ja › blog › 2025-osusume-fido2-hardware-security-key 2025年版 おすすめのFIDO2ハードウェアセキュリティキー - Corbado
Apple Supporthttps://support.apple.com › ja-jp › 102637 Apple Account のセキュリティキーについて - Apple サポート (日本)
IBMhttps://www.ibm.com › jp-ja › think › topics › fido2 FIDO2とは - IBM

crexgroup.com https://crexgroup.com › ja › development › security › what-is-fido-authentication FIDO認証とは?パスワードレスの仕組みやメリットを解説
トラスト・ログインbyGMO ブログ https://blog.trustlogin.com › 2023 › TOTP Totpとは?仕組みやメリット・デメリット、Otp/Hotpとの違い ...

eeengineer.com https://eeengineer.com › fido認証とは FIDO認証とは?仕組み・登録・認証プロセスを図解で解説
OneLogin https://www.onelogin.com › jp-ja › learn › otp-totp-hotp OTP、TOTP、HOTP: 違いは何か? | OneLogin
ポラリファイお役立ちコラム FIDO2とは？ 認証の仕組みやFIDOとの違い・特徴をわかりやすく解説
https://www.polarify.co.jp/column/article008/

時刻: 0 件のコメント:
ラベル: , , , , , , , , , , , , , , , ,
登録: コメント (Atom)

Gmail:::POPの終了｜メールアドレスの変更が可能に｜送信取り消し｜迷惑メールを既読にしない｜遅延｜インポート

　GoogleのGmailでは、メールアドレスの変更が可能になるという仕様変更があり、順次実装中だそうです。２～３日前のニュースでした。 　SNSなどではメールアドレスが同じだと登録出来ない場合が多く、アカウントを複数作ったりややこしくて整理したかったのですが、やっぱりGmai...