YubiKey（ユビキー）とは？仕組み・種類・使い方・選び方を徹底解説

パスワードを使い回していたり、SMSで届く認証コードを入力したりして「なんとなく安全」と感じていませんか？ 実は、そうした一般的な二要素認証でも、フィッシング詐欺には突破されてしまうことがあります。

この弱点を根本から解決するのが、物理的なセキュリティキー「YubiKey（ユビキー）」です。Googleのような大企業が社員に配布し、フィッシングによるアカウント乗っ取りを大きく減らしたことでも知られています。

一方で、日本ではまだ個人利用者が多いとは言えず、「名前は聞いたことがあるけれど、何ができるのかよくわからない」という方がほとんどでしょう。

今回は、YubiKeyの仕組みから種類、設定方法、注意点まで、初めての方にもわかるように解説します。

YubiKeyとは？

YubiKeyは、スウェーデン・ストックホルム発祥のYubico（ユビコ）社が製造するハードウェア型のセキュリティキーです。USBポートに挿してボタン（金属部分）に触れるか、スマートフォンにかざす（NFC）だけで、本人確認ができます。

主な特徴は次のとおりです。

• 専用ソフトやドライバーのインストールが不要で、挿してタッチするだけで使える
• 電池が不要で、ネットワーク接続もしない
• 水や衝撃に強く、鍵束に付けて持ち歩ける
• 1本で複数のサービス・複数のデバイスに使える
• Windows、macOS、Linux、iOS、Androidなど幅広い環境で利用できる

なお、名前の由来を「指（Yubi）＋鍵（Key）」という日本語の造語と思われがちですが、実際には Your UBIquitous Key（あなたの、どこにでもある鍵） の略とされています。

なぜセキュリティキーが必要なのか

パスワードだけでは守れない

ハッキングによる情報漏えいの多くは、パスワードが原因だと言われています。パスワードは推測されたり、他のサービスから流出したものを使い回されたりして破られます。

一般的な二要素認証にも弱点がある

そこで普及したのが、パスワードに加えてもう1つ要素を使う二要素認証（2FA）です。ただし、方式によって強度には差があります。

SMSやワンタイムパスワードの方式では、攻撃者が本物そっくりの偽サイトを用意すれば、被害者にパスワードとコードの両方を入力させることができます。入力された時点で、攻撃者は本物のサイトにそれを転送してログインしてしまいます。

YubiKeyはフィッシングに強い

YubiKeyが使うFIDO2/WebAuthnという仕組みでは、認証の際にキーが接続先のドメインを確認します。そのため、偽サイトに誘導されても、キーが正規のサイトでないと判断して認証が成立しません。たとえあなたが騙されて操作してしまっても、攻撃者には認証情報が渡らない設計になっています。

YubiKeyの仕組み

公開鍵暗号方式を使っている

YubiKeyは、サービスごとに固有の鍵ペア（公開鍵と秘密鍵）を作成します。

1. 登録時：キーの中で鍵ペアを生成し、公開鍵だけをサービス側に渡す
2. ログイン時：サービスから送られてくる「チャレンジ（ランダムな文字列）」に、キーが秘密鍵で署名して返す
3. サービス側は、登録済みの公開鍵で署名が正しいかを検証する

秘密鍵はキーの外に出ることがなく、ネットワーク上を流れることもありません。署名は毎回内容が変わるため、使い回しや改ざんもできません。サービスごとに別々の鍵が作られるので、あるサービスの情報が漏れても他のサービスには影響しません。

複数のプロトコルに対応している

YubiKeyは、新しい規格から古い規格までまとめて対応しています。

• FIDO2 / WebAuthn：パスワードレスログインにも使える最新の規格。パスキーの基盤でもある
• FIDO U2F：FIDO2の前身。二要素認証に特化した規格
• OTP（ワンタイムパスワード）：キーボード入力として使い捨てのコードを送信する方式。古いアプリでも使いやすい
• スマートカード（PIV）：企業のPC・システムログインなどで使われる証明書ベースの認証
• OpenPGP：メールやファイルの暗号化・署名に使える
• OATH（TOTP/HOTP）：Yubico Authenticatorアプリと組み合わせ、認証アプリの代わりにキー内にコードの元データを保管できる

「新しいサービスにも、古い業務システムにも、1本で対応できる」のが大きな強みです。

「持っているだけ」では悪用されにくい

「落としたら誰でも使えてしまうのでは？」と心配になるかもしれません。しかし、YubiKeyは単体では認証が成立しません。

• 基本の使い方では、IDとパスワードに加えてYubiKeyが必要（二要素）
• パスワードレスで使う場合は、YubiKeyのPINコード入力やタッチ、あるいは指紋認証（Bioシリーズ）が必要
• PINを連続して間違えると、キーがロックされる
• 見た目から「どのサービスのキーか」はわからない

ただし、キーの設定次第では、PINなしで使えるものもあります。たとえば、YubiKeyにパスワードを入力させる機能（静的パスワード）を設定している場合は、拾った人にも使われる可能性があります。PINを設定し、重要なサービスにはパスワードも併用するのが基本です。

YubiKeyの種類とラインナップ

YubiKeyにはいくつかのシリーズがあり、対応する機能や端子形状が異なります。

YubiKey 5シリーズ

Yubicoの代表的な製品で、マルチプロトコルに対応する「全部入り」のモデルです。FIDO2、U2F、OTP、スマートカード（PIV）、OpenPGPなどに対応しています。

※ラインナップや仕様は変更されることがあります。購入前に公式サイトで最新情報をご確認ください。

YubiKey Bioシリーズ

指紋認証に対応したモデルです。指紋データはキー内部のセキュアエレメントに保存され、PCやクラウドに送信されることはありません。FIDO2/WebAuthnとFIDO U2Fに対応し、パスワードレスログインを手軽に実現できます。主にデスクトップ向けで、USB-AとUSB-Cがあります。

Security Keyシリーズ

FIDO2/U2Fに特化した、シンプルで価格を抑えたモデルです。OTPやスマートカードなどは使えませんが、GoogleやMicrosoft、GitHubなど主要なWebサービスの二要素認証が目的であれば十分です。USB-A/NFCとUSB-C/NFCのモデルがあります。

YubiKey 5 FIPSシリーズ

米国政府のセキュリティ基準（NIST SP800-63B のAAL3）に準拠したモデルです。官公庁や規制の厳しい業界向けで、一般の個人利用では通常オーバースペックです。

どれを選べばいい？

選ぶときは、まず自分のPCとスマホの端子（USB-AかUSB-Cか） を確認しましょう。そのうえで、NFCが必要かどうかを決めると失敗しにくくなります。

YubiKeyでできること

二要素認証（2FA）

パスワードに加えてYubiKeyのタッチを求める、最も一般的な使い方です。SMSコードや認証アプリの代わりに、タッチするだけでログインできます。

パスワードレス認証

FIDO2に対応したサービスでは、パスワードを入力せず、PINとタッチ（またはBioモデルの指紋）だけでログインできます。パスワードが存在しないため、漏えいや使い回しの心配がありません。

PC・システムへのログイン

Windows・Macのログイン保護や、企業のシングルサインオン（SSO）との連携にも使えます。

暗号化・署名

OpenPGPを使えば、メールやファイルの暗号化・署名用の秘密鍵をキー内に保管できます。SSH認証の鍵としても利用できます。

対応している主なサービス

YubiKeyは、Gmail・Google Workspace、Microsoft 365、Dropbox、GitHub、Salesforce、X（旧Twitter）、Facebookをはじめ、多数のサービスで使えます。対応状況はYubico公式の「Works with YubiKey」カタログで確認できます。

YubiKeyのメリット

• フィッシング耐性が高い：偽サイトでは認証が成立しないため、乗っ取りリスクを大きく下げられる
• ログインが速くて楽：コードを見て入力する手間がなく、タッチするだけで済む
• 電池切れ・充電が不要：スマホと違い、バッテリー残量を気にしなくてよい
• 耐久性が高い：防水・耐衝撃性に優れており、日常の持ち歩きで壊れにくい
• 秘密鍵を取り出せない：高い耐タンパー性を持ち、紛失してもリバースエンジニアリングのリスクが低い
• デバイスを選ばない：PCを買い替えても、キーを差し替えるだけで同じアカウントにログインできる
• コピーできない：認証アプリのように、設定情報がバックアップや流出で複製される心配がない

YubiKeyのデメリットと注意点

良い面ばかりではありません。導入前に次の点は押さえておきましょう。

• 初期費用がかかる：無料の認証アプリと違い、キーの購入費用が必要です。さらに、後述のとおり最低2本の用意が推奨されます。
• 紛失リスクがある：キーを失うとログインできなくなるサービスが出てきます。スペアキーとバックアップコードは必須です。
• 対応していないサービスもある：日本のサービスでは、まだFIDO2に未対応のものも少なくありません。
• 登録の手間がある：サービスごとにキーを登録する必要があります。
• 持ち歩きの手間：挿しっぱなしにするか、鍵束に付けて持ち運ぶ必要があります。
• 誤作動に注意（Nano系）：小型モデルをPCに挿しっぱなしにしていると、金属部分に触れた際にOTPが意図せず入力されることがあります。設定でOTPを長押し時のみ反応するよう変更できます（後述）。

使い始める前に：スペアキーと回復手段の準備

YubiKeyを使う上で最も重要なのは、紛失への備えです。

• スペアキーを用意する：Yubicoも、車や家の鍵と同じように、スペアキーの用意を推奨しています。1本目と同じ手順で、各サービスに2本目も登録します。プライマリキーとスペアキーは自動で連携しないため、両方を個別に登録する必要があります。
• スペアキーの保管：普段使いのキーとは別の安全な場所（自宅の金庫など）に保管します。
• バックアップコードを発行する：対応サービスでは、バックアップコードを発行し、紙に印刷するなどしてオフラインで保管します。
• 別の認証手段も残す：認証アプリなど、他の二要素認証もバックアップとして登録しておくと安心です。

なお、スペアキーの機種は、最初のキーと同じである必要はありません。ただし、利用するサービスが必要とするプロトコルに対応している機種を選んでください。

YubiKeyの設定方法

ここでは、基本的な流れを紹介します。サービスによって画面は異なります。

1. キーを準備する

YubiKeyをPCのUSBポートに挿します（スマホならNFCでかざします）。LEDが光らない場合は、向きを逆にして挿し直してみてください。

2. PINを設定する

パスワードレスなどで使うFIDO2用のPINを設定します。YubiKeyに設定できるPINは最大3種類（FIDO2用、PIV用、OpenPGP用）で、FIDO2のPINは工場出荷時には未設定です。

• Yubico公式アプリ「YubiKey Manager」で設定できる
• Windows 10（Version 1809以上）では、OS側の設定からも可能

PIVとOpenPGPのPINは初期値が 123456 になっているため、これらを使う場合は必ず変更してください。

3. サービス側でセキュリティキーを登録する

例として、Googleアカウントの場合です。

1. Googleアカウントの「セキュリティ」設定を開く
2. 「2段階認証プロセス」を開き、「パスキーとセキュリティキー」を選ぶ
3. 画面の指示に従い、YubiKeyを挿入してタッチする
4. 必要に応じてキーに名前を付けて登録を完了する

4. スペアキーも同じ手順で登録する

2本目も同じ手順で登録します。この時点で、バックアップコードの発行も済ませておきましょう。

Nano系の誤作動を防ぐ設定（OTP）

小型モデルを挿しっぱなしにして、意図せずに長い文字列が入力されてしまう場合は、YubiKey Managerで次の設定をします。

1. YubiKey Managerを起動する
2. 「Applications」から「OTP」を選ぶ
3. Slot 1（短いタッチ）とSlot 2（長押し）を入れ替える（Swap）

これで、OTPの入力は約3秒の長押しをしたときだけになります。Slot 2を別の用途で使っている場合は、事前にYubicoの案内を確認してください。

YubiKeyを紛失したら？

落ち着いて、次の順番で対応します。

1. スペアキーまたはバックアップコードでログインする
2. 各サービスの設定から、紛失したキーを削除する
3. 新しいキーを購入して、再登録する

スペアキーもバックアップコードもない場合は、各サービスのアカウント回復手続きが必要になります。時間と手間がかかるうえ、完全に復旧できない場合もあります。

なお、YubiKey自体にはユーザー名やパスワードは保存されていません。拾った人が、どのアカウントのキーなのかを特定するのは困難です。ただし、持ち主を知っている人に盗まれた場合は別なので、紛失に気づいたら早めに登録を解除してください。

よくある質問（FAQ）

Q. YubiKeyは誰が使っても動作するのでは？

YubiKeyは「持っている」だけでは認証が成立しません。パスワードやPIN（知っている情報）、あるいは指紋（本人の特性）と組み合わせた多要素認証で初めて機能します。

Q. 1本のYubiKeyでいくつのサービスに使える？

U2F/FIDO2の二要素認証としての登録数に実用上の制限は事実上ありません。一方、パスワードレス用のパスキー（Resident Key）として保存できる数には上限があり、YubiKey 5シリーズでは25件とされています。

Q. 指紋認証と同じ？

YubiKey 5シリーズとSecurity Keyシリーズは指紋認証ではなく、PINによる認証です。金属部分は人の皮膚の微弱な静電気に反応して動作しているだけです。指紋認証を使いたい場合はYubiKey Bioシリーズを選びます。

Q. スマホのパスキーがあれば、YubiKeyは不要？

スマートフォンもパスキーとして使えるので、多くの人にはそれでも十分です。YubiKeyが向くのは、次のようなケースです。

• クラウドの同期（Apple・Googleアカウント）に依存せず、手元の機器だけで管理したい
• スマホが使えない環境（コールセンターやデータセンターなど）で認証したい
• 重要なアカウントに、さらに強固な保護を加えたい
• 仕事とプライベートで、デバイスをまたいで使いたい

Q. YubiKeyがうまく動かないときは？

次の点を確認してください。

• LEDが点灯しているか（点灯しなければ向きを逆に）
• OSがキーを認識しているか（Windowsは「デバイスとプリンター」、Macは「システムレポート」→「USB」）
• 必要なUSBインターフェース（FIDO、OTP、CCID）が有効になっているか
• タッチ時に指を強めに当て、金属部分を広く覆っているか（乾燥した肌では反応が悪いことがあります）

Q. 日本でも購入できる？個人でも買える？

Yubico公式サイトなどで、個人でも購入できます。国内の販売パートナーの中には、法人向けのみの取り扱いのところもあるので、個人の場合は公式ストアや一般の販売店を利用すると確実です。

企業・組織での導入

YubiKeyは個人だけでなく、企業での利用にも適しています。

• スマートフォンを支給できない従業員（派遣社員、協力会社など）の認証強化
• スマホの持ち込みが制限されたデータセンター・工場・コールセンターでの認証
• 共有端末のログイン強化
• 特権IDの保護

導入にあたっては、PINの初期設定にかかる工数、初期費用、ユーザーへの周知といったハードルがあります。大規模に導入するなら、Yubicoが提供するサブスクリプション型の「YubiKey as a Service」や「YubiEnterprise Subscription」が選択肢になります。

まとめ

YubiKeyのポイントを整理します。

• YubiKeyは、フィッシングに強い物理型のセキュリティキー
• 公開鍵暗号方式を使い、秘密鍵はキーの外に出ない
• FIDO2、U2F、OTP、PIV、OpenPGPなど、新旧の認証方式に1本で対応
• 迷ったら、YubiKey 5C NFC（USB-C環境）またはYubiKey 5 NFC（USB-A環境）が使いやすい
• 二要素認証だけならSecurity Key、指紋で使いたいならYubiKey Bio
• スペアキーとバックアップコードは必ず用意する

メールアドレスやクラウドストレージ、開発アカウント、収益に直結するサービスなど、乗っ取られると困るアカウントから順に、YubiKeyで保護してみてはいかがでしょうか。