Poem/PicoKey
PicoKeyとは何か？†
- 初代 ラズピコ基板（もとは550円で発売されてたもの、今だとたぶん800円ぐらい）を FIDO2 USB-Keyにするファームウェアです。
ファームウェア https://www.picokeys.com/getting-started/ Selector==> pico fido . Raspberry Pico を選ぶ
- Pico2用は、セキュリティが強化されていて、書き込んだ鍵は読みだせないようになっているそうです。
ファームウェアインストール方法：†
- 皆さんご存じの通り、DLした *.uf2ファイルを、BOOTボタン押しながらUSB接続したラズピコのUSBドライブ(Windows上に出てくるUSBストレージボリューム)にドロップするだけで書き込み完了し、LED点滅します。
早速ミンティアのケースに入れました。†
中の写真：†
- ３秒ぐらいでミンティアケースを適当加工。
- ニッパーでmicro-Bの穴をあける
- 支柱だった真ん中のプラスティックぽっちをトル
- 余ったSDカード変換ケースをセロテープで固定。
- 食玩じゃないけど、中身の粒粒は、一回り大きい方の空のミンティアケースに移動しました。（あとでスタッフが美味しくいただきます）
FIDO2 USB セキュリティキーの基本的な使い方。†
- GoogleとMicrosoftの2FA（2要素認証）ログインに使えます。
- 2FA設定していないGoogleアカウントにまずはパスワードログインしているところからいきます。
- Chromeで、「Googleアカウント」を開く
- 左メニューの「セキュリティとログイン」
- ここを見て
Googleの二段階認証にセキュリティキーを使う https://qiita.com/yugui/items/382275bb04c3fad09ff7 Googleのヘルプページ https://support.google.com/accounts/answer/6103523?hl=ja&visit_id=639287640899396545-639772201&rd=1
- なお、PicoKeyの場合は指紋認証とか、デバイス側の物理ボタンに触れるとかは不要です。 (Pi Pico2ファームだとちょっと違うかも）
FIDO2のキーは盗めるのか？†
- 初代ラズピコでは、認証鍵は普通にFLASHに書き込まれ、picotoolを使えば読み取れるので、市販のFIDO2キーのような物理的読出し防御セキュリティはないです。
- しかし、試してみたところ、picotoolを使ってクローンした別のPicoKey は認証で弾かれるようです。（Flash ROMに書かれているラズピコのシリアルナンバーが個体識別？）
- そもそもPicoKey（や他のFIDO2キー）が攻撃者の手に渡った時点でアウトなので、そんなに読出し防御にこだわったところで・・・という気はしますがどうなんでしょ？ （指紋認証ありデバイスなら話は別ですが、廉価版には付いてないです）
- 物理読み出しも避けたいなら、初代ではないラズピコ２のほうの基板を用意してください。（セキュリティが強化されています）
FIDO2 キーが壊れたり紛失したときのために、スペアキーを作りたい†
- サービスによっては、最大10個までとか制限がある場合もありますが、スペアキーとして複数個の個体を認証サービス側に登録することは可能です。
- 紛失した場合は、紛失したキーだけを無効化すればよいです。
- （スペアキーは金庫とかに保管する感じ？）
FIDO2 キーと、パスキー認証は併用できるの？†
- 安心してください、出来ます。
- パスキーは、スマホとかPC本体のTPMのような場所に鍵が保存されるので、接続に時間も掛からず、スマホ側指紋認証やPINコードでログイン出来て便利ですが、
- スマホとかPCが壊れたり、OS再インストールした場合はパスキー認証をやり直す必要があります。
- その際にもバックアップ手段としてFIDO2キーを１本ぐらい持っておくのは有りですね。
参考サイト†
以下のサイトを参考にさせていただきました。
- 格安でUSBセキュリティキーを作る https://note.com/idgooa/n/nfee7298e5fbf
- パスキーでも乗っ取られる！3つの弱点＆Googleアカウントセキュリティ強化
https://www.youtube.com/watch?v=8lFLjHuj9RU
- Googleアカウントのパスキー／パスワードはクラウド同期を切ること。（攻撃者に利用させない）
- 但し、切る前にしないといけないことがある
1. 各サービスのバックアップコードを保管する バックアップコードは、認証アプリが使えなくなった時のための使い捨ての鍵で、2段階認証を設定しているサービスの「セキュリティ」や「2段階認証」の設定画面から出せます（Googleアカウントなら セキュリティ→2段階認証プロセス→バックアップコードが10個出ます） 使ったコードは無効になるので、残りが減ってきたら作り直す
保管は紙に書いてスマホと別の場所か、パスワード管理アプリ スマホの写真やメモに入れると、スマホと一緒に失くします スマホの写真で保管の場合はクラウド（iCloudやGoogleフォト）に自動でバックアップされたりして危険 サービスによってはバックアップコードが無いので、その場合はパスキーやSMSなど別のログイン方法を先に設定しておく （SMSは最後の手段。安全な順はパスキー＞認証アプリ＞SMS）
2. 予備のスマホにコードを移す 今のスマホの認証システムで、左上の ≡ → コードを移行 → コードをエクスポート → 移すアカウントを選んで「次へ」でQRコードが出ます（数が多いとQRが複数枚になります） 予備のスマホに認証システムを入れて、最初の画面で「アカウントなしで使用」を選び、≡ → コードを移行 → コードをインポート → QRコードをスキャン で読み取る このQRにはコードの元になる秘密の値が全部入っているので、スクショを撮らない、人に送らない、読み取ったら画面を閉じる エクスポートしても今のスマホからコードは消えないので、両方で同じコードが出れば成功です（これは機種変更した時も同じように移行できます）
3. 最後に同期を切る 右上のプロフィール → 「アカウントなしで認証システムを使用する」→ 続行 これでGoogleアカウント側に保存されていたコードは全部削除されて、今のスマホの中だけに残ります 右上の雲のアイコンに斜線が入れば、切れています
以降は機種変更のたびに2の手順で自分で移す必要があるので、予備のスマホが無い人は、切らずにGoogleアカウントのセキュリティをパスキーかセキュリティキーで頑丈にする選択もあります
伝えたかった事†
- パスワード認証を停止して、2FAに切り替えよう
- 2FA のデバイスはいろいろあるので、複数の手段、デバイスを確保して、アカウントアクセス出来なくなる障害に備えよう。
- そのためには、
- 余っているラズピコ基板はFIDO2デバイスとして、まあまあ役に立ちそう。
（間違ってファームと鍵を別用途で上書きしないようにね） - 機種変や型落ちなどで、もう使わなくなったスマホ・タブレット端末でも、一応整備すれば、Google Authenticatorやパスキーの予備端末にすることは出来るよ。
（メイン使用のスマホが壊れても、アカウントリカバリーに使えるよ）
- 余っているラズピコ基板はFIDO2デバイスとして、まあまあ役に立ちそう。
