Flutter アプリへの電話番号(SMS)認証における二段階認証の方法

Question

開発環境：Flutter
データベース：FireStore

Flutter開発初心者です。

スマホアプリにて、会員登録・及びログイン機能を実装しようと考えています。
一人が複数のアカウントを簡単に保持できないようにする、ということから電話番号(SMS)認証でログイン機能を実装したいと考えています。

しかしながら、SMS認証だけでログインできてしまうと、セキュリティ的に危ないのではないかと考えています。

そこで、ID（電話番号）＋パスワードを入力後、SMSコードを送信し、
コードを入力後にやっとログインができるといった、2段階認証にしようと思っているのですが、
その際の新規会員登録の流れは、
1、アプリの新規登録の際に電話番号を入力してもらう
2、FirebaseのAuthにてSMSコードを送信してもらう
3、アプリでSMSコードが入力された後、パスワードを入力してもらう
4、パスワードとID（電話番号）をFireStoreに格納する
で合っているでしょうか。

他に方法があればご教示いただきたいです！！

またもし参考となるコードがあれば、合わせてご教示いただければ幸いです。。

FirebaseもFlutterも初心者でわからないことだらけですが、何卒よろしくお願いします！！

Answer 1

その際の新規会員登録の流れは、
1、アプリの新規登録の際に電話番号を入力してもらう
2、FirebaseのAuthにてSMSコードを送信してもらう
3、アプリでSMSコードが入力された後、パスワードを入力してもらう
4、パスワードとID（電話番号）をFireStoreに格納する
で合っているでしょうか。

合っているかどうかは、仕様によるので回答することはできません。
ただし、一般的な2段階認証と異なる点がありますので、それについては確認をしておくと良いと思います。

まず、電話番号をユーザーIDとして使用するのは、セキュリティに問題があります。
電話番号は契約解除されると、再利用され、他のユーザーに使われます。
これでは、認証用のSMSコードが、他のユーザーに届いてしまいます。

一般的に2段階認証では、以下のようになっています。

第1段階 ⇒ ログインID + パスワードによる認証（必須）
第2段階 ⇒ SMSコードによる認証（任意）

最近のほとんどの SNS（Google、Facebook、Twitter など）では、2段階認証が採用されていますので、実際に使ってみて、参考にしてみてください。

Comments

[mu-------]

丁寧にご回答いただき、ありがとうございます！！
非常に参考になりました。

追加でお聞きしたいのですが、一人で複数のユーザーを作成させないような認証方法はあるのでしょうか。
SMS認証の場合、Googleアカウントのように簡単に作成できないため、一人で多くのアカウントを作成できないのでは、と考えSMSで認証したいなーと思っていました。

質問の内容からそれてしまい申し訳ありません。。

[nskydiving]

残念ながら、確実に一人で複数のユーザーを作成させないようにするのは不可能です。
SMS認証もSIMを複数契約すれば、複数のユーザーを作成できてしまいますので。

もう少し強固な認証にしたいのであれば、以下の方法も考えられますが、ユーザーに手間をかけることになりますし、あまりおすすめはしません。

・身分証明書の写真を提出させる。（マッチングアプリでよく採用されている方法）
・クレジットカードで課金させる。（1円だけ支払いさせて、すぐにキャンセルすることで、クレジットカードが有効であることを確認する方法）

[mu-------]

なるほど…やはり確実に一人というのは難しいのですね…。
ご回答いただき、ありがとうございました！！！
とてもわかりやすかったです！！