NASに二要素認証（2FA）は必要か？UGREEN NASで防げること・防げないこと

外出先からNASへアクセスするアカウントと管理者アカウントでは、二要素認証（2FA）を最優先で有効にしてください。家庭内だけで使用する一般ユーザーにも、パスワード漏えいに備えて設定を推奨します。

UGREEN NASの二要素認証を有効にすると、パスワードに加えて、認証アプリに表示される6桁のワンタイムコードが必要になります。パスワードが漏えいしても、それだけでは第三者がログインできない状態を作れるためです。

キーポイント

• 管理者アカウントとリモートアクセスに使用するアカウントでは、2FAを優先して有効にします。
• UGOS Proの二要素認証では、パスワードとOTP対応の認証アプリに表示される6桁コードを組み合わせます。
• パスワードの漏えい、使い回し、クレデンシャルスタッフィングによる不正ログインのリスクを下げられます。
• リアルタイム型フィッシング、認証済み端末の乗っ取り、ランサムウェアは2FAだけでは防げません。
• 二要素認証は、アカウントロックダウン、アクセス権限の分離、バックアップなどと組み合わせて運用します。

UGREEN NASの2FAで組み合わせる2つの認証要素

本人確認に使われる情報は、主に次の3種類に分けられます。

• 知識要素：本人だけが知っている情報。パスワードやPINコードなど
• 所持要素：本人だけが持っているもの。認証アプリを登録したスマートフォンなど
• 生体要素：本人の身体的な特徴。指紋や顔など

UGREEN NASの二要素認証では、パスワードという「知識要素」と、認証アプリを登録したスマートフォンという「所持要素」を組み合わせます。

ログイン時には、最初にアカウントのパスワードを入力し、その後、認証アプリに表示された6桁のワンタイムコードを入力します。異なる2種類の認証要素を要求するため、パスワードだけでログインする場合よりも不正アクセスのリスクを下げられます。

「二段階認証」は本人確認を2回行う仕組みを広く指すのに対し、「二要素認証」は異なる種類の認証要素を組み合わせる方式を指します。UGREEN NASの2FAは、パスワードと認証アプリを組み合わせる二要素認証です。

NASで二要素認証が必要な理由

パスワードだけでは漏えい後の侵入を防げない

長く複雑なパスワードを設定していても、フィッシング、マルウェア、情報漏えいなどによって第三者に知られる可能性は残ります。

パスワードだけでログインできる状態では、攻撃者が正しいパスワードを入手すると、そのままNASへアクセスできてしまいます。

二要素認証を有効にしていれば、パスワードに加えて認証アプリのコードが必要です。パスワードが漏えいしても、それだけではログインできない状態を作れます。

パスワードの使い回しによる被害を抑えられる

別のサービスから漏えいしたメールアドレスとパスワードを使い、ほかのサービスへのログインを試す攻撃を「クレデンシャルスタッフィング」と呼びます。

UGREEN NASでほかのサービスと同じパスワードを使用していると、流出した認証情報が不正ログインに使われる可能性があります。

サービスごとに異なるパスワードを設定することが基本ですが、二要素認証を追加すれば、パスワードが特定された場合にも追加の防御になります。

管理者アカウントが侵害された場合の影響が大きい

管理者アカウントには、ユーザー、共有フォルダ、ストレージ、アプリ、ネットワーク、セキュリティなどの設定を変更できる権限があります。

管理者アカウントが乗っ取られると、保存データだけでなく、NAS全体の設定を変更される可能性があります。そのため、一般ユーザーよりも先に管理者アカウントで二要素認証を有効にしてください。

リモートアクセスではインターネット経由のログインが発生する

UGREENlink、DDNS、VPNなどを利用すると、外出先からNASへアクセスできます。その一方で、インターネット経由でログインする機会も増えます。

リモートアクセスを利用するアカウントでは、強固で重複のないパスワードと二要素認証を組み合わせることが重要です。接続方式ごとの特徴は、UGREEN NASを外出先から利用する方法で解説しています。

二要素認証を優先して設定すべきアカウント

家族でNASを使用する場合も、1つの管理者アカウントを全員で共有しないでください。ユーザーごとに個別のアカウントを作成し、それぞれ必要なフォルダだけにアクセス権限を付与します。

個別アカウントで二要素認証を設定すれば、1人の認証情報が漏えいした場合にも、影響をそのユーザーの権限範囲に限定しやすくなります。

UGREEN NASの二要素認証で防げること

二要素認証の主な役割は、パスワードだけを入手した第三者による不正ログインを防ぐことです。

二要素認証は、パスワードが正しい場合に追加の本人確認を行う機能です。一方、パスワードを何度も試すブルートフォース攻撃には、ログイン失敗を検知してブロックする対策も必要です。

アカウント活動の監視とアカウントロックダウンを併用すると、不審な接続の確認と連続したログイン失敗の自動ブロックを行えます。

UGREEN NASの二要素認証で防げないこと

二要素認証を有効にしても、NASに保存されたデータがすべての攻撃や事故から保護されるわけではありません。

リアルタイム型のフィッシング

偽のログイン画面へパスワードとワンタイムコードを入力すると、その情報がすぐに正規のログイン画面へ転送され、不正ログインに使われる場合があります。

認証アプリのコードは、漏えいしたパスワードだけでログインされるリスクを下げますが、ワンタイムコードを盗むリアルタイム型フィッシングを完全に防ぐものではありません。

メールやメッセージ内の不審なリンクからログインせず、アクセス先のドメインを確認してください。

認証済み端末やログイン状態の悪用

すでにUGREEN NASへログインしているパソコンやスマートフォンがマルウェアに感染すると、攻撃者が既存のログイン状態を悪用する可能性があります。

信頼済みデバイスを紛失した場合も、端末の画面ロックが突破されると、認証コードを入力せずにNASへアクセスされるおそれがあります。

信頼済みデバイスとして登録するのは、自分だけが使用し、画面ロックやOSの更新が適切に管理されている端末に限定してください。

ランサムウェアによるファイルの暗号化

パソコンがNASの共有フォルダへ接続した状態でランサムウェアに感染すると、正規ユーザーの権限を使ってNAS上のファイルまで暗号化される場合があります。

この処理はログイン後のファイル操作として行われるため、二要素認証では防げません。スナップショット、アクセス権限の分離、別の保存先へのバックアップなどを組み合わせる必要があります。

具体的な防御と復旧方法は、家庭用NASのランサムウェア対策をご覧ください。

誤削除・上書き・ストレージ障害

二要素認証はアカウントを保護する機能であり、次の問題には対応できません。

• ユーザーによるファイルの誤削除
• ファイルの上書き
• HDDやSSDの故障
• NAS本体の故障
• 火災、水害、盗難などによる機器の消失

二要素認証を有効にしていても、重要なデータには別のバックアップが必要です。

二要素認証と組み合わせるべき対策

NASのセキュリティは、1つの機能だけで成立するものではありません。二要素認証を中心に、次の対策を組み合わせます。

• 管理者アカウントと一般ユーザーアカウントを分ける
• ユーザーごとに個別のアカウントを使用する
• 長く、推測されにくいパスワードを設定する
• 他サービスと同じパスワードを使い回さない
• アカウントロックダウンを有効にする
• アカウント活動で不審な接続を確認する
• 不要なリモートアクセスやサービスを停止する
• UGOS Proとアプリを最新の状態に保つ
• 重要なデータを別の保存先へバックアップする

二要素認証は不正ログインを防ぐ対策です。監視、自動ブロック、アクセス権限、端末保護、バックアップを組み合わせることで、NAS全体のリスクを下げられます。

有効化する前に知っておくべきこと

UGOS Proの二要素認証では、SMSではなく、OTP対応の認証アプリに表示される6桁のワンタイムコードを使用します。Google AuthenticatorやMicrosoft Authenticatorなどの認証アプリを利用できます。

ワンタイムコードは時刻に基づいて生成されるため、NASとスマートフォンの時刻がずれると認証に失敗する場合があります。設定前に両方の端末で時刻の自動同期を有効にします。

また、認証アプリを使用できなくなった場合に備えて、設定時に緊急認証メールアドレスを登録します。UGREEN NASでは、緊急認証メール、信頼済みデバイス、別の管理者アカウントによる無効化を復旧手段として利用できます。

実際の操作は、UGREEN NASで二要素認証を設定する手順をご覧ください。

二要素認証に関するよくある質問

強固なパスワードを設定していても二要素認証は必要ですか？

必要です。長く複雑なパスワードを設定しても、フィッシング、マルウェア、他サービスからの情報漏えいなどによって第三者に知られる可能性は残ります。

二要素認証を有効にすると、パスワードが漏えいしても、認証アプリのコードがなければログインできない状態を作れます。

家庭内だけでNASを使う場合も二要素認証は必要ですか？

外出先からアクセスする場合より優先度は下がりますが、設定を推奨します。

家庭内だけで使用していても、同じネットワーク上の端末がマルウェアに感染した場合や、パスワードが別のサービスから漏えいした場合には、不正ログインのリスクが残ります。特に管理者アカウントでは、利用範囲にかかわらず二要素認証を有効にしてください。

UGREEN NASの二要素認証はSMSを使用しますか？

UGOS Proの二要素認証ではSMSを使用せず、OTP対応の認証アプリが生成する6桁のワンタイムコードを使用します。

認証アプリは携帯電話回線を必要とせず、スマートフォンがオフラインでもコードを生成できます。

ログインするたびに認証コードが必要ですか？

二要素認証を有効にすると、パスワード入力後に認証コードが求められます。ただし、自分専用の安全な端末を信頼済みデバイスとして登録すると、次回以降のコード入力を省略できます。

共用端末や公共のパソコンでは、信頼済みデバイスに登録しないでください。

認証アプリを入れたスマートフォンを紛失した場合はどうなりますか？

登録済みの緊急認証メール、信頼済みデバイス、別の管理者アカウントのいずれかを利用して復旧できます。

復旧後は、紛失した端末で使用していた二要素認証を無効にし、新しいスマートフォンの認証アプリで再設定してください。紛失した端末を信頼済みデバイスとして登録していた場合は、その端末のログイン状態についても確認が必要です。

まとめ

UGREEN NASの二要素認証は、パスワードと認証アプリのワンタイムコードを組み合わせ、漏えいしたパスワードだけでログインされるリスクを下げます。

ただし、リアルタイム型フィッシング、認証済み端末の乗っ取り、ランサムウェア、誤削除、ストレージ障害を防ぐ機能ではありません。

二要素認証を、アカウントロックダウン、アクティビティ監視、アクセス権限の分離、端末の保護、バックアップと組み合わせることが、UGREEN NASを安全に運用する基本です。