はじめに: The Death of Passwords

🔑

🔑

記憶から所持へ

• Passkeyで『覚えるパスワード』を過去のものに

• 公開鍵暗号方式によるサーバー漏洩リスクの排除

Slide 1 of 3Remaining 2

◀▶

2024年頃から始まった「脱パスワード」の流れは、2026年に完了しました。 まだ CorrectHorseBatteryStaple のようなパスワードを覚えているなら、あなたは遅れています。

エンジニアの認証は、 「知っていること（Password）」から「持っていること（Device）」 へと完全に移行しました。 これを実現するのが、FIDO2/WebAuthn規格に基づく Passkey です。

1. Hardware: 物理的な「信頼の起点」

ソフトウェアだけのセキュリティは、マルウェアに感染すれば破られます。 ハードウェア・セキュリティキー（YubiKey）は、秘密鍵をデバイス外に出さないため、PCが乗っ取られても鍵そのものは安全です。

2. Network: どこでも「自宅LAN」

カフェのフリーWi-Fiは危険？ そう言われていたのは過去の話です。 今は Tailscale を使い、全ての通信を暗号化されたオーバーレイ・ネットワーク（WireGuard）に通します。

Tailscale + Exit Node

自宅のRaspberry PiやApple TVを「Exit Node」に設定すれば、外出先からのアクセスも全て自宅IP経由になります。 これにより、IP制限のかかった社内システムにも安全にアクセスできます。

# 自宅のサーバーで実行
sudo tailscale up --advertise-exit-node

NextDNS

DNSレベルでのファイアウォールです。 広告ブロックだけでなく、既知のフィッシングサイトやマルウェア配布ドメインへのアクセスを、DNS解決の段階で遮断します。 Tailscaleと連携させることで、モバイル回線でもNextDNSを経由させることができます。

3. Workflow: 開発フローへの統合

YubiKeyは、単なるWebログインの道具ではありません。 開発者の毎日の業務（Git, SSH）に組み込むことで真価を発揮します。

Git Commit Signing

GitHubのコミットログに「Verified」バッジをつけるのは、もはやマナーです。 他人がメールアドレスを偽装してコミットする（Spoofing）のを防ぐため、YubiKey内のOpenPGP鍵で署名します。

# ~/.gitconfig
[user]
 signingkey = <YubiKey-GPG-Key-ID>
[commit]
 gpgsign = true

SSH with YubiKey (FIDO2)

OpenSSH 8.2以降、FIDO2キーを直接SSH鍵として扱えるようになりました。

# 鍵生成（秘密鍵はYubiKey内に生成され、取り出せない）
ssh-keygen -t ecdsa-sk -O resident

これにより、サーバーログイン時に毎回YubiKeyへのタッチが求められます。 「面倒くさい」と思うかもしれませんが、これこそが「マルウェアが勝手にSSHできない」という最強の防御壁なのです。

4. Software: Passkey Manager

Passkeyはデバイスに紐づきますが、PCを買い替えるたびに登録し直すのは苦痛です。 そこで、Passkeyをクラウド同期できるマネージャーを使います。

エンジニアには 1Password を推奨します。 特に「SSH Agent」機能が強力で、~/.ssh/id_ed25519 をローカルに置く必要がなくなり、秘密鍵漏洩のリスクが激減します。

5. OS Hardening: デフォルト設定を疑え

最後に、OS自体の防御力を上げます。

• FileVault / BitLocker : ディスク暗号化は必須です。PCを紛失しても、データはゴミ屑同然になります。
• Lockdown Mode (Apple) : 究極の防御モード。JITコンパイラを無効化し、添付ファイルのプレビューを制限するなど、攻撃面（Attack Surface）を最小化します。「命を狙われている」レベルの脅威に対応できます。

Deep Dive: ゼロトラスト・アーキテクチャの本質

「一度社内ネットワークに入れば安全」という境界型セキュリティは崩壊しました。ゼロトラストの原則はシンプルです。

1. Never Trust, Always Verify: たとえ同じ LAN 内からのアクセスであっても、デバイスの健全性とユーザーの認証を毎回検証する。
2. Least Privilege: 必要最小限の権限のみを、必要な時間だけ与える。
3. Assume Breach: すでに侵入されていることを前提に、被害を最小化（セグメンテーション）する。 エンジニアが Tailscale などのツールを好むのは、この高度なゼロトラスト環境を、複雑なVPN設定なしに個人レベルで構築できるからです。

結論: セキュリティは「習慣」である

YubiKeyをタッチする動作、Tailscaleをオンにする動作。 これらを日常のルーチンに組み込むことで、意識せずに最高レベルのセキュリティを維持できます。 攻撃者があなたのデータを狙った時、「こいつは面倒だ（コストが見合わない）」と思わせたら、あなたの勝ちです。

関連記事

• Ultimate Home Network 2026
• Biohacking for Engineers