オフライン環境のPC端末をFIDOセキュリティキーで守る「YubiOn FIDO Logon Standalone」を試してみた

こんにちは！今回は、先日リリースされたばかりの新製品 「YubiOn FIDO Logon Standalone」 を早速試してみたレポートをお届けします！

本製品は、インターネット非接続（オフライン）環境の Windows PC においても、YubiKey などの FIDO2 セキュリティキーを使った多要素認証を単体で導入できる注目ソリューションです。

こんな課題をお持ちの方におすすめ！

• 対象読者: 工場・医療現場・官公庁・店舗など、ネット接続が制限された環境（閉域網・オフライン環境）の端末を管理しているIT担当者・セキュリティ管理者
• こんな課題を抱えている方に:
  • クラウド型MFAは導入できない: オフライン環境の、監査で「MFA未導入」を指摘されても打つ手がない
  • フィッシング耐性のあるMFAが求められている: セキュリティガイドラインや社内規定、取引先からの要請などでフィッシング耐性のある多要素認証の導入が求められているが、クラウド前提の製品が多く閉域網では選択肢が限られる
  • 毎回のパスワード入力が負担: 複雑なパスワードを都度手入力する手間や、入力ミス・盗み見のリスクを減らしたい
  • 簡単に認証強化したい: オフライン環境でも YubiKey 等を使った FIDO2 セキュリティキー認証（キーログオン）をサクッと導入したい

本記事では実際のセットアップから、日々のキーログオン体験、万が一の緊急ログオン対応までを分かりやすく解説します！

はじめに

「YubiOn FIDO Logon Standalone」とは？

YubiOn FIDO Logon Standalone は、上記のようなオフライン環境・閉域網における端末セキュリティを強化するために開発された、完全スタンドアロン型の FIDO2 ログオンソリューションです。

• 完全オフライン対応：外部サーバーとの通信は一切なし！端末単体（ローカル）で FIDO2 認証・検証を完結。別途認証サーバーの構築等は不要です。
• FIDO2 認証：PC端末のログオンをフィッシング耐性のあるFIDO2認証デバイスで多要素認証化。
• 各種アカウントに対応：ローカルアカウントをはじめ、Active Directory ドメインアカウント、Entra ID（Azure AD）、Microsoft アカウントなど様々なアカウント種別に対応。
• 幅広い対応 OS：Windows 10 / 11 などのクライアント OS に加え、Windows Server 2022 以上のサーバー OS にも対応。
• 簡単導入：インストーラーを実行し、ライセンスファイルを読み込ませるだけで、すぐに使い始めることが可能。

今回は、この製品のセットアップから実際のログオン体験、トラブル対策までを一通り体験してみました！

まず結果から

YubiOn FIDO Logon Standalone を導入すると、お手持ちのWindows 端末のログオン画面が下記のように変わります。　
導入前 (左図) は通常のパスワード入力でしたが、導入後 (右図) は FIDOセキュリティキーが求められるようになります。

ログオン画面で、FIDOセキュリティキーの所有者の確認操作をすることでログオンできます。
今回は YubiKey 5 NFC (PIN入力モデル) を使用しているため、PIN 入力 + タッチ が求められます。
※「タッチ」は、プログラムによる不正操作を防ぐため、キー本体のボタン（金属部）に触れて「人が物理的に操作していること」を確認する動作です。

長くて複雑なパスワードを毎回入力する手間は不要です。
キーを挿して所有者確認するだけで、より安全にログオンできます。 (詳細は後述)

では、早速導入してみましょう！

事前準備・検証環境

今回検証に使用した環境・用意したものは以下です。

今回は YubiOn FIDO Logon Standalone をインストールした状態から説明していきます。

ステップ1：初期設定

さっそく、管理者アカウントで ログインし、設定ツールを起動します。

①  設定ツールの起動

Windows スタートメニューから 「YubiOn FIDO Logon Settings Tool」を起動します。
※起動時に管理者権限が求められるので、画面の指示に従ってください。

② ライセンスファイル（.slcx）のインポート

次に、製品を利用可能にするためにライセンスファイルをインポートします。
「ライセンス」タブにアクセスし、「ライセンスファイルをインポート」をクリックし、用意しておいた license.slcx を指定します。
※ライセンスが登録されていない状態では、本製品を使用することができません。

インポートが成功すると、ライセンス状態が表示され、設定ツールの機能が有効化されます。

ステップ2：ユーザーアカウントとセキュリティキーの紐づけ

続いて、Windows ユーザー（YubiOn）に対して 認証器 (YubiKey) を紐づけ、Windowsログオン時のFIDO2 認証を有効にします。

ユーザーアカウントにFIDO2キーを紐づけ

設定ツールの 「ユーザー管理」 タブをクリックし、下記の操作を行います。

1. 対象ユーザー YubiOn を選択します。
2. 「認証器を割り当て」をクリックします。
   
3. FIDO認証器 (セキュリティキー) の登録
   セキュリティキーをUSBポートに挿入します。
   
   
   
   FIDO認証器を使用するには初めにPINを設定する必要があるため、「PIN」入力を行います。(既にPINが設定されている認証器であれば、この手順はスキップされます。)
   ※このPIN設定は、あなたがFIDO認証器の所有者であることを確認するために使用されます。
   
4. PIN設定確認のため、認証器にタッチします。
   YubiKeyであれば、中央の金属部分にタッチします。
   
   
    
5. ユーザーと認証器の紐づけ確認のため、もう一度タッチが求められるので、認証器にタッチします。
   
   
    
6. 紐づけ完了後、認証器に名前を設定します。
   
7. FIDO認証器の登録が完了すると、登録済み認証器の一覧にFIDO認証器が表示されます。
   
   ユーザーとの紐づけは完了です！
   次はWindows端末のログオン時にFIDO認証が使用できるようにセットアップします。

FIDO認証を有効化

システム設定タブに移動し、「認証器ログオンを有効にする」を「On」に変更します。
併せて「認証器取り外し時にWindowsを自動ロックする」も「On」に変更しておきます。(後で検証します)

ステップ3：実践！FIDOキーによるログオンを体験

設定が完了したので、一度サインアウトして、実際に YubiKey を使ってログオンしてみます！

① サインアウト画面・ロック画面の変化

Windowsログオン画面で対象アカウントを選択すると、サインインオプションに本製品のアイコンが追加されています。
本製品のアイコンをクリックし、FIDO認証を試していきましょう。

② FIDO認証

まずは、YubiKeyをUSBポートに差し込みます。
すると、PIN入力が求められるので、先ほど設定したPINを入力し、Enterキーを押します。

FIDOキーのタッチを求められるので、キーにタッチします。
YubiKeyの場合は金属部分にタッチ！

セキュリティキーのモデルによる所有者確認操作の違い

PINモデル: PIN 入力 + タッチ が求められます。 
生体モデル: 生体認証が求められます。

※「タッチ」は、プログラムによる不正操作を防ぐため、キー本体のボタン（金属部）に触れて「人が物理的に操作していること」を確認する動作です。

FIDO認証成功後、初回のみWindowsアカウントのパスワードが求められるので入力します。

パスワードが正しいとログオン成功です！

1度パスワードを使用したログオンに成功すると次回からはパスワード入力なしでログオンできるようになります。

先ほど設定ツールにて、認証器引き抜き時に自動で画面ロックがかかるように設定したので、実際にキーを引き抜いてみます。

画面がロックされましたね！

離席時にキーさえ引き抜けば画面ロックがかかるので便利そうです。

最初のログオンではパスワードが求められましたが、次回ログオン時にパスワード入力が不要になっているのかを確かめてみましょう。
再度キーを接続し、PIN + タッチ操作で所有者の確認を行います。

キータッチ後、 すぐにWindows デスクトップ画面が表示されました！

長くて複雑な Windows パスワードを毎朝打ち込む必要がなくなり、「キー挿入 ＋ PIN ＋ タッチ」 だけで安全かつ高速にログオンできます！

補足: ログオンの仕組みはどうなっている？

YubiOn FIDO Logon Standalone では、Windowsのログオンの仕組みの前に動作し、FIDOによる認証を行なっています。
また、パスワード入力を省略するための仕組みとして初回と2回目以降のログオン操作に違いがあります。

初回ログオン (FIDO + パスワード)

1. ユーザーにFIDO認証操作を求め、YubiOnが認証結果を検証します。
2. パスワードの入力を求め、Windows側で検証します。
3. 両方の認証に成功するとログオン完了となり、FIDO認証成功時に得られる鍵でパスワードを暗号化して保存します。

2回目以降のログオン (FIDO)

1. ユーザーにFIDO認証操作を求め、認証結果を検証します。
2. FIDO認証成功時に得られる鍵で保存済みのパスワードを復号し、Windows側に渡して検証します。
3. 両方の認証に成功するとログオン完了です。

Windows側の認証に影響を与えないため、すでに Active Directory (AD) をご利用中の方も、既存のAD環境に変更を加えることなくスムーズに導入できる点がメリットです。

補足2: FIDOだからこそ安全な理由

ここまで読んで「結局は裏側でパスワードを使っているなら、今までのパスワード運用と同じでは？」と思われた方もいるかもしれません。実はこの仕組みには、FIDOならではの安全性があります。

① 認証の秘密鍵は、セキュリティキーの外に出てこない

FIDO認証は公開鍵暗号方式を使っています。認証の要となる秘密鍵はセキュリティキーの内部で生成され、外部に取り出せません。端末側に保存されるのは対になる公開鍵（＝万が一見られても問題のない情報）だけです。

② 毎回のやり取りに「使い回せる秘密」が流れない

パスワードは「いつも同じ秘密をそのまま渡す」ため、一度盗まれると何度でも使い回されてしまいます。FIDOによるログオンでは、端末が毎回違うランダム値を作り、FIDOキーは「ランダム値」、「本人確認をしたか」などを含めたデータに署名を付けて返却します（端末は公開鍵で検証）。

渡されるのは秘密そのものではなく今回だけの認証結果なので、盗まれたとしても次回のログオンには使い回せません。しかも署名は中身を少しでも書き換えると検証に失敗するため、「本人確認済み」と偽るなどの改ざんも通用しません。また、FIDO認証で使用されるデータには登録先の情報も含まれるため、キーは登録した相手以外には応答しません（一般的なWebサイトなどでは「本物のサイト以外には有効な署名を返さない」仕組みになっており、これがフィッシング耐性と呼ばれる理由です）。

③ PIN・生体情報はセキュリティキーの中で照合される

PINの照合はセキュリティキーの内部で行われ、PINや生体情報が端末に保存されたり、ネットワークに流れたりすることはありません。さらにPINを連続して間違えるとセキュリティキー自身がロックされるため、総当たりでの突破は困難です。「PINを知っているだけ」でも「キーを拾っただけ」でも突破できず、キーの所持＋PIN（または生体） の両方が揃って初めて認証が成立します。

④ 保存されたパスワードを復号する鍵は、端末上に存在しない

先ほどの図のとおり、Windowsパスワードは端末に暗号化して保存されます。ここがポイントで、この暗号化にはFIDO認証成功時にセキュリティキーから取得できる鍵 (秘密鍵とは別のもの) を使用しています。この鍵は端末のディスク上のどこにも保存されておらず、ログオンのたびに、登録済みのセキュリティキーで所有者確認に成功したときだけキー本体から生成し直されます。そのため、保存されたパスワードは本人のセキュリティキーを実際に挿して所有者確認をしない限り、復号できません。

「端末にパスワードそのものを置いている」のではなく、「セキュリティキーがなければ意味を持たないデータを置いている」というイメージです。

ステップ4：万が一のトラブル対策（鍵を忘れた・失くした時）

「YubiKey を自宅に忘れてきてしまった！」という場合でも、「マスターキーの使用」または「事前に発行しておいた リカバリコード 」を使用することで対応できます。
今回は「リカバリコード」での対応をご紹介します。

設定ツールを開き、「ユーザー管理」の下側に見える「リカバリコード発行」をクリックします。

発行後、1度しか表示されないリカバリコードが表示されます。
下側にある「テキストファイルに保存」をクリックし、任意の場所に保管しておきます。

保存が完了したら、リカバリコードのポップアップは閉じておきます。
元の設定ツールを見ると、端末リカバリコードの状態にリカバリコードの残り使用回数が表示されるようになりました。

これで、リカバリコードが使用できるようになったので、早速試してみましょう。

サインアウトしてログオン画面を表示します。
画面下側の「キャンセル」をクリックし、FIDO認証をキャンセルします。

次に「リカバリコードでログオン」をクリックします。

すると、リカバリコード入力枠が表示されるので、先程控えておいたリカバリコードを入力してみます。

リカバリコードの入力に成功すると、対象アカウントのWindowsパスワードが求められるので、パスワードでログオンします。

「リカバリコード + パスワード」に成功すると、ログオン成功です。
キー紛失時などの緊急対応が必要な場合もリカバリコードで対応することができます！

設定ツールを開いて、リカバリコードの残数を確認すると「9/10」と1回使用された状態になっていますね。
※1度使用されたリカバリコードは2度と使用することはできません。

万が一の機能なので常用はおすすめしませんが、キー紛失時に役に立ちそうです。

ログに関して

YubiOn FIDO Logon Standalone は設定ツールの特定の操作やログオン周りのログがWindowsのイベントログに出力されます。
イベントビューアーを開き、「Windows ログ」＞「Application」からソース名「YubiOnFidoLogonStandalone」を確認することで、どのユーザーがどの認証器でログオンしたかを把握できます。

ログオン時の記録には、FIDO認証結果をはじめ、リカバリコードやマスターキーの使用履歴などさまざまな情報が出力されますので、監査等にご活用ください。

まとめ

今回、「YubiOn FIDO Logon Standalone」を実際に使ってみて感じた魅力をまとめます。

良かった点・おすすめポイント

1. すばやく、かんたんにフィッシング耐性のあるMFAを導入できる 
   ネットワーク工事や認証サーバー構築が一切不要！インストールして設定ツールで登録するだけで完結します。
2. 閉域環境・オフライン環境に最適
   インターネットに繋がらない工場ラインの端末や医療用 PC、機密データを扱うオフライン端末の MFA 化にベストマッチします。
3. 日々の“パスワード入力”そのものから解放される
   パスワードを完全になくすわけではありませんが、ユーザーが毎回手入力する必要がなくなり、入力ミスや盗み見といったリスクを実質的に排除できます。しかも保存されたパスワードはセキュリティキーがなければ復号できない形で暗号化されており、ログオン時のやり取りも使い回しや改ざんができない署名で行われます。「手間が減るだけ」ではなく、パスワードを手入力していた頃より安全になっているのが嬉しいポイントです。物理キー＋PIN＋タッチという確実な本人確認も安心感があります。
4. 管理者向けの運用機能が手厚い
   鍵の紛失・故障時のリカバリコード、どのアカウントにも利用可能なマスターキー、そして誰が・いつ・どの端末でログオンしたかを追跡できるイベントログ監査など、「導入して終わり」にならない運用機能が標準で揃っています。
5. 幅広いアカウント種別・OSに対応
   ローカルアカウントだけでなく、Active Directory・Entra ID・Microsoft アカウントまで一通り対応し、Windows 10/11 に加えて Windows Server 2022 以降のサーバー OS でも利用できます。混在環境でも導入しやすい点は大きな強みです。

詳細な製品情報に関してはYubiOn FIDO Logon Standalone製品ページをご確認ください。