Engineer's Security Stack 2026｜パスワードを捨てる勇気

💡

この記事の重要ポイント

30秒で読めます

はじめに: The Death of Passwords

🔑

Slide 1 of 3Remaining 2

◀▶

2024年頃から始まった「脱パスワード」の流れは、2026年に完了しました。まだ CorrectHorseBatteryStaple のようなパスワードを覚えているなら、あなたは遅れています。

エンジニアの認証は、 「知っていること（Password）」から「持っていること（Device）」 へと完全に移行しました。これを実現するのが、FIDO2/WebAuthn規格に基づく Passkey です。

ソフトウェアだけのセキュリティは、マルウェアに感染すれば破られます。ハードウェア・セキュリティキー（YubiKey）は、秘密鍵をデバイス外に出さないため、PCが乗っ取られても鍵そのものは安全です。

ASIN: B08DHL1YDL

世界標準のハードウェアキー。USB-Cに挿してタッチするだけで、Google、GitHub、AWSなどの2段階認証を通過できる。NFC対応なので、iPhoneの背面にタッチして認証も可能。

ASIN: B0892V3R3L

カフェで作業するエンジニアの必須マナー。マグネット式で着脱可能な覗き見防止フィルター。正面からはクリアに見えるが、隣の席からは真っ黒に見える（視野角30度）。

カフェのフリーWi-Fiは危険？そう言われていたのは過去の話です。今は Tailscale を使い、全ての通信を暗号化されたオーバーレイ・ネットワーク（WireGuard）に通します。

自宅のRaspberry PiやApple TVを「Exit Node」に設定すれば、外出先からのアクセスも全て自宅IP経由になります。これにより、IP制限のかかった社内システムにも安全にアクセスできます。

# 自宅のサーバーで実行
sudo tailscale up --advertise-exit-node

DNSレベルでのファイアウォールです。広告ブロックだけでなく、既知のフィッシングサイトやマルウェア配布ドメインへのアクセスを、DNS解決の段階で遮断します。 Tailscaleと連携させることで、モバイル回線でもNextDNSを経由させることができます。

YubiKeyは、単なるWebログインの道具ではありません。開発者の毎日の業務（Git, SSH）に組み込むことで真価を発揮します。

GitHubのコミットログに「Verified」バッジをつけるのは、もはやマナーです。他人がメールアドレスを偽装してコミットする（Spoofing）のを防ぐため、YubiKey内のOpenPGP鍵で署名します。

# ~/.gitconfig
[user]
 signingkey = <YubiKey-GPG-Key-ID>
[commit]
 gpgsign = true

OpenSSH 8.2以降、FIDO2キーを直接SSH鍵として扱えるようになりました。

# 鍵生成（秘密鍵はYubiKey内に生成され、取り出せない）
ssh-keygen -t ecdsa-sk -O resident

これにより、サーバーログイン時に毎回YubiKeyへのタッチが求められます。「面倒くさい」と思うかもしれませんが、これこそが「マルウェアが勝手にSSHできない」という最強の防御壁なのです。

Passkeyはデバイスに紐づきますが、PCを買い替えるたびに登録し直すのは苦痛です。そこで、Passkeyをクラウド同期できるマネージャーを使います。

エンジニアには 1Password を推奨します。特に「SSH Agent」機能が強力で、~/.ssh/id_ed25519 をローカルに置く必要がなくなり、秘密鍵漏洩のリスクが激減します。

最後に、OS自体の防御力を上げます。

FileVault / BitLocker : ディスク暗号化は必須です。PCを紛失しても、データはゴミ屑同然になります。
Lockdown Mode (Apple) : 究極の防御モード。JITコンパイラを無効化し、添付ファイルのプレビューを制限するなど、攻撃面（Attack Surface）を最小化します。「命を狙われている」レベルの脅威に対応できます。

「一度社内ネットワークに入れば安全」という境界型セキュリティは崩壊しました。ゼロトラストの原則はシンプルです。

Never Trust, Always Verify: たとえ同じ LAN 内からのアクセスであっても、デバイスの健全性とユーザーの認証を毎回検証する。
Least Privilege: 必要最小限の権限のみを、必要な時間だけ与える。
Assume Breach: すでに侵入されていることを前提に、被害を最小化（セグメンテーション）する。エンジニアが Tailscale などのツールを好むのは、この高度なゼロトラスト環境を、複雑なVPN設定なしに個人レベルで構築できるからです。