6桁のPINをやめた WhatsAppが二段階認証をパスワードに変える

3行まとめ

• WhatsAppは二段階認証二段階認証本人確認をもう1段足して、アカウントの乗っ取りを防ぐ仕組み。WhatsAppでは今回パスワード方式になりました用語集でこの語を見るを6桁のPINから、英数字と記号が使えるパスワードに変えました
• Androidでは連絡先にない番号からの着信に、別の国からかと共通グループの有無が出ます
• パスキーパスキー指紋・顔・画面ロックの暗証番号で本人確認する仕組み。数字の入力を挟みません用語集でこの語を見るを設定した人が10億人を超え、AndroidとiOSで複数のパスキーを登録できます

何が起きたか

MetaはWhatsAppのアカウント保護を3か所変えたと発表しました。1つ目は二段階認証で、これまでの6桁のPINをやめました。今後は英数字と記号を混ぜた、より長いパスワードを設定します。

2つ目は着信画面です。Androidで連絡先に登録のない番号から電話が来たときの表示が増えます。WhatsAppはその番号が別の国のものかどうか、自分と共通のグループがあるかどうかを出します。

3つ目はパスキーです。指紋・顔・画面ロックの暗証番号でログインし直せる仕組みで、設定した人が10億人を超えました。AndroidとiOSの両方を使う人は、1つのアカウントに複数のパスキーを登録できるようになりました。

なぜ難しい・何がすごいか

二段階認証が守るのは、ワンタイムパスコードワンタイムパスコードログインのときに一度だけ使える数字。届いた本人以外が読めると意味を失います用語集でこの語を見るを盗まれた後です。WhatsAppは、一度だけ使える数字を本人に送ってログインを確かめます。攻撃者がその数字を手に入れると、番号の持ち主に成りすませます。

二段階認証はその内側にもう1つ鍵を置きます。数字だけでは開きません。

Metaは新しいパスワードを、推測しにくくするためのものだと説明しています。6桁の数字は組み合わせが決まった形に収まります。長さと文字種を解放すると、その形から外れます。

着信画面の変更は別の入口をふさぎます。Metaは、詐欺は相手を急がせることに頼ると書いています。番号の国と共通グループが出る前から見えていれば、受話器を取る前に一呼吸置けます。

たとえ話

ログインの数字は、玄関前のポストに投げ込まれる紙の合言葉です。横から紙を抜き取った人は、それを読み上げれば玄関を通れます。

二段階認証は、その奥にもう1枚の扉を置きます。奥の扉の鍵は本人の頭の中にしかなく、ポストには届きません。

今回変わったのは奥の鍵の形です。刻みが6か所に決まっていたものから、長さも刻み方も自由なものになりました。

用語ミニ辞典

• 二段階認証: 本人確認をもう1段足して、アカウントの乗っ取りを防ぐ仕組み。WhatsAppでは今回パスワード方式になりました
• ワンタイムパスコード: ログインのときに一度だけ使える数字。届いた本人以外が読めると意味を失います
• パスキー: 指紋・顔・画面ロックの暗証番号で本人確認する仕組み。数字の入力を挟みません
• エンドツーエンド暗号化: やり取りの中身を、送り手と受け手の端末だけが読める形にする方式。WhatsAppは既定で有効にしています

技術者向けの深掘り

パスキーと二段階認証は、防ぐ相手が違います。パスキーは端末の生体認証と画面ロックで本人を確かめ、数字もPINも通しません。ワンタイムパスコードは受信できる人なら誰でも読めるため、経路を奪われた時点で本人確認の役目を失います。

二段階認証のパスワードは受信経路の外にあります。置き場所はユーザーの記憶だけです。

パスキーの複数登録は、プラットフォームをまたぐ利用を前提にした変更です。MetaはAndroidとiOSの両方を使う場合を挙げています。設定の場所は Settings > Account > Passkeys です。

着信の情報表示はAndroid向けとして発表されました。iOSへの提供はMetaの発表に含まれていません。

これは自分に関係ある？

WhatsAppを日常で使う人は、二段階認証の入力欄が6桁の数字からパスワードに変わります。Android端末なら、連絡先にない番号からの着信画面に表示が増えます。

WhatsAppを使っていない人にとって、10億人という数字が意味を持ちます。指紋と顔でログインする方式が、1つのアプリでこの規模まで広がりました。

認証を実装する側は、複数パスキーの扱いが参考になります。1アカウントに複数の鍵を持たせると、AndroidとiOSを併用するユーザーが端末ごとにログインできます。