再設定するパスワードが存在しない世界の登録とログイン

誰もパスワードを預かっていないときの「ログイン」

2つの異なる仕組みが同じ「ログイン」と呼ばれています。混同することが、技術的にはまだ自分のものである資金から締め出される原因です。

銀行や取引所では、ログインは自分が口座名義人であることをサーバーに証明する行為です。サーバーが残高を保持しているので、パスワードも保持でき、再設定もでき、一時的に締め出すこともできます。復元はカスタマーサポートの手続きです。

セルフカストディ型アプリでは、ログインは端末上の鍵を解錠する行為です。残高はサーバーではなくブロックチェーン上にあり、その鍵で管理されています。認証はローカルで完結するため、障害の形が違います。何もロックされませんが、どの端末も鍵素材を生成できなければ、何にも署名できません。

Tria は後者に属しながら、前者の使い勝手を提示します。見慣れたサインイン画面、生体認証、書き写す語句なし。多くの人にとってこれは本物の改善です。同時に、頭の中のモデルを変える必要があります。あなたは資格情報を記憶しているのではなく、保管しているのです。

始める前に必要なもの

自分が管理し、更新を続けているスマートフォン。OS がすでにセキュリティモデルの一部だからです。複数の端末からアクセスできるメールアドレス。そして復元設定を固めた Apple または Google のアカウント。パスキーが同期される先だからです。

カードを使うつもりなら、要件が2つ増えます。身分証明書と、カードプログラムが受け入れる居住国です。独立系のカード情報データベースは現在、米国・中国・インド・ロシアを Tria のカードの対象外としており、一方 Tria は 150 以上の国での提供を掲げています。書類を提出する前に自分の状況を確認してください。却下された申込みでも、データは本人確認事業者の手元に残ります。

必要でないものが1つあります。資金です。アカウントを作り、復元設定を終え、2台目の端末からログインできることを証明し、そのうえで何を入金するか決めてください。

• 端末 最新の状態のスマホ、画面ロック有効、他で使い回していない暗証番号。
• プラットフォームアカウント SMS 復元を外した Apple / Google アカウント。セキュリティキーか認証アプリを追加。
• メール 2台目の端末からもアクセス可能。理想的にはウォレットと同じ水準で保護。
• カードのみに必要 身分証明書と、対象となる居住国。

登録の流れと、各画面が実際にしていること

最初の画面は識別子を作るか接続します。メール、電話番号、あるいはソーシャルログインです。これはアプリ内でのあなたの識別子であり、保管そのものではありません。アクセスを失うのは不便ですが、鍵素材を失うのは致命的です。この2つを混同しないでください。

2番目の画面が認証を設定します。パスキーが端末上に作られ、プラットフォームがパスキー同期に対応していれば Apple または Google アカウントにバックアップされます。ここで、そのアカウントの強度がウォレットの強度になります。

3番目の段階──最初は任意になっていることが多い部分──で復元要素を設定します。追加端末、ガーディアン、エクスポート可能なバックアップです。ここを飛ばすのが最も多いオンボーディングの失敗です。うまくいかない日が来るまで、すべて問題なく動くからです。

カードのための本人確認はウォレットの流れの外にあり、通常はアカウント作成時ではなくカードを申し込むときに来ます。この分離は正常で、有用です。書類を一度も出さずに暗号資産を保有し動かせますし、本人確認が必要なのは法定通貨に接する部分だけです。

最初の10分で変える3つの設定

初期設定は登録完了率のために選ばれており、あなたの最悪の日のために選ばれていません。この3つは数分で終わり、現実的な攻撃経路の大半を塞ぎます。

第一に、パスキーを保持するプラットフォームアカウントを固めます。SMS を復元手段から外し、ハードウェアセキュリティキーか認証アプリを追加し、現在サインインしている端末を確認してください。SIM スワップがウォレットの一歩手前にあってはいけません。

第二に、取引とログインの通知をすべて有効にします。想定外の動きは、数秒で届いてはじめて有用な情報になります。沈黙は攻撃者の味方です。

第三に、接続済みのサイトとセッションの権限を確認し、見覚えのないものを取り消します。スマートアカウント型ウォレットでは、セッションキーや承認は、付与したことを忘れたあとも長く有効な許可として残ります。

ログインできないとき

確率の高い順に原因をたどってください。慌てると退屈な原因を飛ばしがちです。アプリは最新ですか。端末は正しいプラットフォームアカウントでサインインしていますか──Google アカウントを2つ持っていて、間違った方で認証しているのはよくあることです。生体認証の解除は、アプリではなく OS の段階で失敗していませんか。

端末を失った、あるいは交換した場合、これはログインの問題ではなく復元の問題です。新しい端末にアプリを入れ、残っている要素で復元手続きを実行してください。それがうまくいくかどうかは数週間前に決まっています。テストしたか、していないかです。

パスキーが本当に消えた場合──プラットフォームアカウントから削除された、あるいはそのアカウント自体にアクセスできない場合──残る選択肢は方式内の他の要素です。2台目の端末、ガーディアン、エクスポート済みのバックアップ。どれも存在しないなら、どのサポートも助けられません。そして助けを申し出るメッセージは攻撃です。

2台目の端末を追加する──他のすべてを機能させる手順

ログイン済みの2台目の端末は、便利さではなく要件として扱ってください。それは同時に、復元の経路であり、復元が機能する証明であり、旅行中に端末を盗まれたときの脱出口です。

残高が小さいうちに行ってください。タブレットか予備のスマホにアプリを入れ、主端末の電源を切った状態で手続きを完了し、残高が見えるだけでなく出金取引に署名できることを確認します。残高を見られることと動かせることは別で、意味があるのは後者だけです。

端末を引退させるときは、アプリの端末一覧とプラットフォームアカウントの両方から削除してください。セッション一覧に残った古い端末は、侵害の発覚が数か月遅れる原因です。

偽のログインページと、それが機能する理由

暗号資産のログイン詐欺は、綴りを間違えたドメインの段階を過ぎました。現在の手口はアプリ名そのものに検索広告を出し、画面を1ピクセル単位で複製し、本物の流れが求めるものをそのまま求めます。加えて1つの入力欄、あるいは1つの署名だけを追加します。

2つの習慣がその大半を無効にします。自分で作ったブックマークか、一度確認したストアの掲載ページからのみアプリに到達すること。検索結果や広告からは決して行かないこと。そして、想定外の通知の後に現れる要求──「ウォレットを再確認してください」「アカウントを移行してください」「所有権を確認してください」──は、証明されるまで敵対的と扱うことです。

ここでパスキーは、パスワードにはできなかった形で助けになります。パスキーはドメインに紐づいているので、そっくりのサイトでは単に認証を拒否します。ただしこの保護が保たれるのは、「パスキーがうまく動かなかったから」とフォームに何かを入力せず、パスキーを使い続ける場合だけです。

アカウントを閉じるとき、何が残るのか

アプリのアカウント削除は、オンチェーンの履歴の削除とは違います。アドレス、残高、取引は永久に公開され続けますし、カードの本人確認を済ませていれば、そこで作られた身元との結びつきは、保存義務に従って確認事業者と発行体の記録に残ります。

離れる前に、独立して管理するウォレットへ資金を移し、そのアドレスから与えた承認を取り消し、税務用に取引履歴をエクスポートしてください。そのうえで、スマホからアプリを削除するのではなくアプリの設定からアカウントを閉じてください。削除だけではアカウントは有効なまま、誰も見ていない状態で残ります。