特別な権限を持つ利用者に対する二要素認証の必須化について
2025年1月3日より、オーバーサイト係とチェックユーザー係は、権限を行使する前に二要素認証（2FA）を有効化することが要求されるようになります。将来的には、ほかの特権を持つ利用者にもこの要件が適用されるかもしれません。これらの決定に際し、ウィキメディア財団がコミュニティの皆さんに協力を呼び掛けている質問は下記のとおりです。
背景
数週間前、ウィキメディア財団はコミュニティ役務者と共同で、約36,000件にも及んだアカウントへの大規模な不正アクセスについて調査しました。その取り組みの一回として、インターフェース管理者に対し、二要素認証の利用を強制する技術的措置を適用しました。
私たちは、アカウントのセキュリティ強化のため、特に特別な権限を持つアカウントの保護を重視しつつ、引き続き重要な変更を行っていく予定です。幸いなことに、2025年3月のインシデントによって悪意ある編集やコンテンツの完全性についての問題が生じた形跡は見つかりませんでした。しかしながら、すべてのセキュリティインシデントに対して適切に対応するために重要なこととは、将来起こり得るインシデントの発生率や影響を減らせるようなシステムの改善を実施することです。
そのため、私たちは二要素認証（2FA）の利用を強制する技術的措置の対象をオーバーサイト係とチェックユーザー係に拡大する予定です。両者は編集者の非公開な個人情報へアクセスする権限を有しているためです。
影響を受ける利用者は、上記の権限のいずれかを有するプロジェクト上（ほとんどの利用者にとってそれはここmeta-wikiではありません）でSpecial:Manage Two-factor authenticationにアクセスし、TOTPをサポートする認証アプリを設定してください（互換性があるアプリの一覧はこちら）。
この変更は2025年1月3日に実施される予定であり、影響を受ける利用者には直接連絡を行います。
私たちは、ビューロクラットなどのような技術的な特権を持つほかの役職に対しても、この措置の適用範囲を拡大する必要があると確信しています。しかし、ウィキメディアプロジェクトで利用可能な二要素認証の手段が限られていることから、二要素認証を広範囲に展開する際にはさらなる困難が伴う可能性がある点に留意しています。私たちは、非公開な個人情報へのアクセス特権を有する利用者が円滑に二要素認証へ移行できるよう、複数の認証手段の設定を許可したり、セキュリティキーやパスキーなどといったフィッシング耐性のある最新の認証手段をサポートしたりすることを通じて、二要素認証機能のアクセシビリティとセキュリティの向上に努めています。
お問い合わせ
私たちは、上記の変更を加える前に事前告知を行い、コミュニティの皆さんから意見を集める機会も受けることを目的として、本投稿を公開しました。二要素認証への移行をすべての人にとって円滑に行えるよう、今後このような二要素認証の必須化措置を行う際における最適な方法や、私たちが取り組むべき二要素認証およびその関連機能の技術的改善点について、コメントをお待ちしています。
ぜひ議論ページにあなたの意見をお寄せください。フィードバックの内容を非公開にされたい場合は、security-help
wikimedia.orgにメールしていただくことも可能です。特に、次のテーマについての意見を求めています。:
- ウィキメディアプロジェクトの二要素認証において、あなたがどのような問題に悩まされましたか?または、ほかの利用者がどんな問題に直面しているところを見かけたましか?ソフトウェアのバク、安全上の懸念、デバイスの互換性による問題など、どんなものでも構いません。
- 特権アクセスの保護に寄与し得る要件として、二要素認証以外に私たちが検討すべき技術的なセキュリティ要件はありますか?
- セキュリティポリシーの強化を図るにあたり、ほかにどのユーザーグループや権限に焦点を当てるべきですか?
- 本措置を実施するにあたり、私たちが最も気を付けるべき点は何ですか?
- 上記以外のテーマについてのコメントや質問も気兼ねなくお聞かせください。
よくある質問
- この協議を主催しているのは誰ですか?
- ウィキメディア財団のセキュリティチームが、コミュニケーション部門の活動の支援の元で主催しています。
- この要件はどのように適用されますか?
- 十分な期間を置いて、ソフトウェアによりこの強制措置が適用されます。前述のとおり、インターフェース管理者にはこの強制措置を適用済みです。二要素認証を使っていない利用者は、有効化するまでチェックユーザーやオーバーサイトの権限を行使できなくなります。
- 二要素認証用のデバイスを紛失した場合、何が起こりますか?
- 二要素認証を有効化する際に、10個のリカバリーコードが提供されます。コード群のコピーを安全な場所に保管しておいてください。
- また、二要素認証を有効化している場合でも、アカウントに紐づけられた確認済みメールアドレスからca
wikimedia.orgへ連絡することで、アカウントへのアクセスを回復するための本人確認プロセスを開始することができます。 - この確認プロセスを開始するには、アカウントに紐づけられておりかつメールを送受信できる利用可能な確認済みメールアドレスが必要です。
- 私のアカウントで二要素認証を有効化するにはどうすればよいですか?設定画面が見つかりません。
- 現時点では、二要素認証は基本的に特定の権限を有している利用者のみが利用できます。私たちは、すべてのウィキメディア利用者アカウントへ効果的に二要素認証を展開するためには何が必要なのかについて、調査を行っています。