YubiKeyの選び方と使い方｜FIDO2・パスキー・予備キーの登録

YubiKeyを選ぶ際の基準は、利用したい認証プロトコルにあります。FIDO2（WebAuthn/CTAP）のみの利用であれば「Security Key Series」が選択肢となりますが、OTP（ワンタイムパスワード）やPIV、OpenPGPなどのマルチプロトコルが必要な場合は「YubiKey 5 Series」が必要です。

用途別製品比較

利用目的に合わせて、以下の表を参考に製品を選択してください。

※価格については、最新の情報を各販売サイトでご確認ください。

製品の対応範囲はSecurity Key Seriesの公式説明とYubiKey 5の技術マニュアルで確認できます。編集部では、使わない機能の多さではなく、必要なプロトコルと端子で選ぶことを勧めます。

購入・使用前の確認事項

YubiKeyを導入する前に、以下の項目を必ず確認してください。

• 端末の端子確認: 使用するデバイスがUSB-A、USB-C、またはNFCのいずれに対応しているか確認してください。
• サービス側の対応状況: 端末が端子やNFCに対応していても、利用するWebサービス側がその通信規格をサポートしているとは限りません。
• OS・ブラウザの対応: FIDO2を利用する場合、OSおよびブラウザがWebAuthn/CTAP系に対応している必要があります。

端子とNFCの具体例

YubiKey 5 Seriesは同じ系列でも端子が異なります。次の例は公式のフォームファクター一覧に基づく仕様比較で、認証速度の測定や価格比較ではありません。

端子の一覧はYubicoのハードウェア解説で確認できます。名称の「C」はUSB-Cの区別に使われますが、それだけでNFC対応まで判断しないでください。

パスキー（Passkeys）の種類と違い

現在、認証技術として「パスキー」という言葉が広く使われていますが、YubiKeyを使用する場合、以下の2つの概念を区別して理解しておく必要があります。

Hardware-bound Passkey（ハードウェアに紐付いたパスキー）

YubiKeyのような物理デバイス内に秘密鍵を保持するタイプです。鍵の情報はデバイスから取り出すことができず、デバイスそのものが認証の鍵となります。

Synced Passkey（同期型パスキー）

クラウドサービスなどを介して、複数のデバイス間で認証情報が同期されるタイプです。

パスキーとセキュリティキーの関連はYubicoのWebAuthn FAQを参照してください。セキュリティキーを第2要素として登録する場合と、パスワードを使わないパスキーとして登録する場合は、サービスの手順が異なります。

YubiKeyの登録・設定手順

サービスによって画面表示は異なりますが、一般的な登録の流れは以下の通りです。

1. アカウント設定へアクセス: 利用するサービスの「アカウントセキュリティ」設定画面を開きます。
2. セキュリティキーの追加: 「セキュリティキーを追加」といった項目を選択します。
3. キーの接続: YubiKeyを端末の端子に差し込むか、NFCでかざします。
4. 認証の実行: 画面の指示に従い、キーのPIN入力またはタッチ（Touch）を行います。
5. 名前の設定: どのキーか判別しやすいよう、名称を入力します。
6. 予備キーの登録: 紛失に備え、別のYubiKeyを同じ手順で追加登録します。
7. 動作テスト: 登録したキーを使用して、実際にログインができるかテストを行います。
8. リカバリコードの保存: 万が一に備え、サービスから発行されるリカバリコードをオフラインの安全な場所に保存します。

サーバーのセキュリティ強化に関する詳細な手法については、Linuxサーバーのセキュリティ強化 を参照してください。

認証に関する重要な注意点

YubiKeyを使用する際、誤解しやすい仕様がいくつかあります。

「タッチ」と生体認証の違い

通常のYubiKeyの「タッチ（Touch）」は、ユーザーがキーを操作していることを確認するものです。登録した本人の指紋を照合する操作ではありません。これは必ずしも生体認証を意味するものではありません。生体認証が必要な場合は、別途「YubiKey Bio Series」などの製品を検討する必要があります。

FIDO2 PINとアカウントパスワード

YubiKeyに設定する「FIDO2 PIN」は、ログイン時に使用する「アカウントパスワード」とは全く別のものです。PINはあくまでその物理キーを使用するための認証情報です。

PINのリセットに伴うリスク

忘れたFIDO2 PINを通常のPIN変更で回復できるとは限りません。FIDO機能のリセットは、保存されたFIDO認証情報を消去し、各サービスへの再登録が必要になります。OATH・PIVなど別機能の初期化とは区別し、復旧用キーやサービスの回復手段を先に確認します。

FIDOの初期化で消える範囲はYubico Authenticatorのリセット説明を参照してください。本記事は初期化を実行する手順ではなく、誤って復旧手段を失わないための整理です。

紛失対策：予備キーとリカバリコード

キーを失ったときに別のログイン・回復手段がなければ、アカウントへアクセスできなくなるおそれがあります。

予備キーの登録について

YubiKeyで生成したFIDOの秘密鍵を取り出し、別のキーへ同じパスキーとして複製することはできません。そのため、予備のキーを用意した場合は、各サービスにおいて個別に「新しいセキュリティキーの追加」の手順を繰り返して登録する必要があります。

Yubicoの予備キー案内も、使用するサービスへ予備キーを登録することを勧めています。編集部では、重要なメールや管理アカウントから導入し、次の台帳を確認することを勧めます。PIN・秘密鍵・リカバリコードそのものは台帳へ書きません。

リカバリコードの管理

サービスから提供されるリカバリコードは、オンライン上のデータだけでなく、オフラインの安全な場所に保管してください。バックアップの管理については、Kopiaのバックアップ設計 のような手法を参考に、データの保護を検討してください。

復旧手順の推奨事項

新しい予備キーを登録した後は、必ず別の端末などでログインテストを行い、正しく動作することを確認してください。古い認証方法（脆弱なバックアップ手段など）を削除する前に、新しいキーでのログインが成功することを確認することが重要です。

ログインできないときの切り分け

入力を繰り返す前に、画面がどの認証情報を要求しているか確認します。PINの再試行上限や解除の条件は製品・機能・ファームウェアで確認し、回数を使い切るまで推測で入力しないでください。

編集部では、紛失後に回復方法を探すより、登録直後に予備キーで別セッションへ入れることを確認する方を優先します。唯一のログイン手段を残したまま、新しい手段を試してください。

セキュリティ上の限界

YubiKeyはフィッシング耐性に優れた強力な認証手段ですが、万能ではありません。以下のリスクを完全に防げるわけではないことに注意してください。

• 端末内のマルウェア: デバイス自体がマルウェアに感染している場合、認証プロセスが妨害される可能性があります。
• セッション盗難: 認証後のログイン状態（セッション）が盗まれる攻撃を、YubiKey単体で防ぐことはできません。

よくある質問（FAQ）

YubiKeyに保存された認証情報を、別のYubiKeyにコピーできますか？

いいえ、できません。YubiKeyはセキュリティの特性上、秘密鍵をデバイス外へ出すことはできません。予備のキーには、各サービスで個別に再登録を行う必要があります。

YubiKeyのタッチ操作は、指紋認証と同じですか？

いいえ、異なります。YubiKeyのタッチは「ユーザーが物理的にボタンに触れたこと」を確認する操作であり、生体認証（指紋など）とは別物です。

設定したPINを忘れてしまいました。すぐにリセットしても大丈夫ですか？

FIDO機能をリセットすると、保存されたFIDO認証情報が消去されます。通常のPIN変更とは違います。予備キーやサービスの回復手段でログインできることを先に確かめてください。

YubiKeyがあれば、すべてのWebサービスで安全にログインできますか？

いいえ。YubiKeyが動作するためには、そのWebサービスおよび使用するブラウザ・OSが、FIDO2などの規格に対応している必要があります。

YubiKeyを紛失した場合、どうすればアカウントを復旧できますか？

登録済みの予備キーや、そのサービスが提供するリカバリコード・アカウント回復手順を使います。すべてのサービスがコードを発行するとは限りません。そのため、事前にリカバリコードをオフラインの安全な場所に保存しておくことが不可欠です。

どの製品を選べばよいか迷っています。

FIDO2（WebAuthn/CTAP）による認証のみを目的とするなら「Security Key Series」を、OTPやPIVなどの多機能なプロトコルが必要な場合は「YubiKey 5 Series」を検討してください。