テクノロジー

証券口座パスキーの安全性を高めよ！”物理キー”を本格導入した話
2026/10/11 12:13 コメント 34件
1: nguyen-oi 2026/10/12 07:13

YubiKey導入はガチ勢の嗜み。SMS認証の脆弱性考えると物理キー一択なんだよな

2: Galaxy42 2026/10/12 07:18

錠前

3: gimonfu_usr 2026/10/12 07:33

“Yubico”

4: plank 2026/10/12 07:38

物理キーをソフトウェアでイミュレートして、実物のUSBドングルは無視するようなコンピュータウイルスって作れない様になっているもんなん？ / 仕組み分かってないです otoku-memoさん、おかげで少し分かりました。

5: megumin1 2026/10/12 07:58

「物理キーから秘密鍵を遠隔で抜き出せないの？」という疑問ならまだしも（実際は耐タンパ性により不可能）、「（秘密鍵が入っている）物理キーを無視するようなウイルス」というはてぶコメントはさすがにウケル。

6: otoku-memo 2026/10/12 08:07

ハードウェアキーの動作原理なんもわかってない奴がおるな…。チャレンジ＆レスポンスで認証してて、内部の鍵は破壊しても取り出せない仕組みなので安全。マイナンバーカードも仕組みは一緒。

7: strangedoll 2026/10/12 08:08

ファームウェアのアプデがあると買い直しになるんよね…

8: fuwafuwakarugamo 2026/10/12 08:10

鍵生成のときに偽のセキュリティキーに差し替えてバックドアを仕込む攻撃は当然あり得て、認証器の証明書チェーンを検証すれば鍵を生成したハードウェアのモデルや製造元が分かるようになってる。正しい疑問だよ

9: tora_17 2026/10/12 08:16

調べた。SBI証券にはパスキー以外にパスワードログインが有効になっているため、ログインして無効に設定し直す必要がある。あと電話番号認証も可に。これで防御できる、はず。

10: anonymighty 2026/10/12 08:20

仮に物理キーの秘密鍵が固定だった場合、データを蓄積して量子計算機で暗号解読されちゃう可能性あるし、定期的に更新するとすると、その仕組みを狙われる可能性もあるなあ。一時しのぎかなあ。

11: sgo2 2026/10/12 08:20

フリマやオークションの中古品を買ってはいけない https://infomation-sytem-security.hatenablog.com/entry/yubikey-vulnerability-ysa-2024-03-firmware-check /(追記)Yubikey以外の選択肢も有る https://note.com/tmg500/n/n6e6dd8e33b11

12: sainokami 2026/10/12 08:23

S&P500最強伝説さんやん

13: Gka 2026/10/12 08:27

昔は高額ソフトに物理的なドングルキーが付属していたがkrackerとのイタチごっこで廃止された経緯を知っていれば疑問に思うのも当然では。

14: okbook 2026/10/12 08:28

そこそこ面倒くさいしなにかエラーが出ると詰む気がする。他に良い方法はないのかな。どうしても全額引き出して金庫に入れるべ、くらいの昭和的発想になってしまう。

15: m-kawato 2026/10/12 08:43

理論上の安全性はともかく、未知の脆弱性・バグや運用ミスなども考慮に入れると完全なセキュリティはないとみなすのが世間知とは思っている

16: naoya2k 2026/10/12 08:43

Appleのパスキーを設定しているのに、騙されてTouch IDまたはFaceIDのような物理キーを突破されてしまう人が、別ハードになっただけでなぜ格段に強度が上がるのか、僕にはちょっと難しくてわからんかった。

17: akuriemon 2026/10/12 08:45

証券口座パスキー用に物理キーを買う人はちゃんとその証券会社がその物理キー製品に対応してるか調べてから買ったほうが良いよ。楽天証券とかまだ対応範囲が少ない。

18: dekigawarui 2026/10/12 08:48

物理キーに悪意のあるファームウェアを仕込まれたら、全部ごぼう抜きにされそう。

19: umaemong 2026/10/12 08:52

よいまとめ。紛失時の復旧手段をどうするか。認証済の端末が別途あればいいんだけど、Apple端末複数台は気軽にはできない。マイナカード(デジタル認証)が使えるようになって欲しい。

20: enemyoffreedom 2026/10/12 08:54

まぁ大金を扱うサービスやメインの認証プロバイダ（Googleとか）では最低限使いたい。ただし結局サービス側の個人情報お漏らしは

21: misomico 2026/10/12 09:01

yubikeyを手に埋め込みたい

22: monochrome_K2 2026/10/12 09:04

パスキーの一元管理。確かにこの方法が一番固いのかなと思う

23: hobbiel55 2026/10/12 09:05

やっぱり、パスキーは端末毎に設定してローカルでのみ使えるようにしとくのが安心。パスキーをパスワードマネージャーで集中管理しようとするのが矛盾している。

24: petite_blue 2026/10/12 09:15

マイナンバーカードが物理キーとして使えるようになれば利便性が増しそう

25: tonocchokun 2026/10/12 09:17

物理キーの長所は物理的に盗まないとだめな点、短所はいちいち持ち歩かないといけないリスクがある点。なので物理キーにも指紋認証とかのセキュリティ機能があるものを使いましょう。

26: auto_chan 2026/10/12 09:31

ハードウェアウォレットに毒の部品が組み込まれれて資金流出がおきたばかり（ https://pasqualepillitteri.it/ja/news/22735/ledger-hakkingu-cryptobilis-9300-man-doru-hado-implanto ）なので物理も気をつけてね～。安全保障レベル。

27: myr 2026/10/12 09:33

それはそれで正しいけどこういうのもあるので、鵜呑みにしないで常に疑う姿勢が重要 https://ja.martincid.com/technology-ja/ledger%E3%81%AE%E6%9A%97%E5%8F%B7%E8%B3%87%E7%94%A3%E3%82%A6%E3%82%A9%E3%83%AC%E3%83%83%E3%83%88%E3%81%AB%E9%9A%A0%E3%81%97%E3%83%81/

28: nilab 2026/10/12 09:39

「利便性も損なわれていないし、セキュリティレベルも格段に上がったので満足しています。Googleの１回限りコード以外は」「犯人たちが足を運ぶ必要があるものは、この手の乗っ取り事件には使いづらい」

29: ya--mada 2026/10/12 09:40

パスキーをクラウドデータ同期せずに一台の端末で運用するのはクラウド侵害を懸念するなら良いけど、端末喪失時に課題が残る。パスキーのプラットフォーム(GoogleやApple)をFIDO2キーにしてパスキー同期が妥当だと思う。

30: raitu 2026/10/12 09:41

スマホに差し込める物理キーでAppleとGoogleアカウントを保護しそこに含まれるパスキーを保護する話。多層防御の一貫ではあり有効ではあるが、それ一つで万全ではないが、参考情報として

31: duckt 2026/10/12 10:00

昨日、父親の遺品を整理していたら、恐らくはネットバンキング用のワンタイムパスワードを生成するハードウェアトークンと思われるものが出てきて、それを二十一の息子が不思議そうに眺めているのが感慨深かった。

32: ToTheEndOfTime 2026/10/12 10:09

関係ないが全部のパスワードを効率的に変えられるように標準にしてほしい

33: naka_dekoboko 2026/10/12 10:09

つい最近、仮想通貨のハードウェア鍵デバイスの流通会社ごと反社が買ってチップ埋め込んでて130億くらいぶっこぬかれてたぞ

34: minamihiroharu 2026/10/12 10:13

物理キー、そろそろ買おうかなと思ってる。