パスワード管理/MFA管理の戦略

自分のパスワードやMFA(多要素認証)の管理方法についてまとめた記事です。 パスワード管理とTOTP(Time-based One-time Password)の管理として1Passwordを使い、MFA(多要素認証)の2要素目としてYubiKeyを2枚使っています。 パスワード管理とMFA管理を安全で使いやすくするのはかなり複雑で難しいため、完璧にやるのが難しいです。 そのため、その難しさから二要素認証を設定するべきアカウントも手間などから設定を省いてしまったり、管理方法に一貫性がありませんでした。 この記事では、パスワード管理/MFA管理の戦略を決めることで、どのサイトのどのアカウントのパスワード管理をあまり頭を使わなくてもできるようにするのが目的です。利便性と安全性のバランスを意識はしていますが、この記事のやり方が正解ではないので、各自の目的に合わせて読み替えると良いと思います。 用

[efcl]

1PasswordとYubikeyを使ったMFA管理について。

[commonp]

すみません。難しくて何が書いてあるか分からない・・。「腑に落ちる管理ルールになっていて良さそう」というトップコメを理解出来るレベルの人でないと難しいと思う。

[mizdra]

腑に落ちる管理ルールになっていて良さそう。MFA 登録する時に表にサービスを書き足す運用なので、どのサービスに YubiKey 登録したか書き残す形になってるのも良い (残ってないと紛失して revoke が必要になった時困る)。

[mohri]

多要素認証は確かに方針を決めると楽そうだけど安心できる方針を決められるかどうかがたいへんそう

[honma200]

この感じだと1Passwordと別のアプリにTOTP入れてもあんま二要素になんなくない？パスワードと顔認証で認証変えても同じクライアント上の話だし。これだと別のところに保存して取り出してるって意味になると思うよ

[tmatsuu]

自分はパスワードとTOTPは別アプリにしてる。そのうえでYubikeyを2つ持ってるので、MFAはTOTPとYubikey2つ、全部登録できるなら全部登録するポリシー。TOTPはMicrosoft Authenticator。Microsoftのサービス用でどうせ必要になるからね。

[kaiton]

これを管理できる人は少ない、、新たな格差ができそう。けれどパスワード認証より、この方向だよな〜

[sasasin_net]

1passがMFAデバイスでガードできるのは知らんかった。1pass使ったことない。1passに乗り換えたい気持ちが高まった

[teppeis]

バックアップコード、どうすりゃいいんだろう

[ysync]

認証情報をSaaSで一社に預けるなら見知らぬ一社では嫌だな。ビッグテックならいいのかという問いにはなるんだけど、まだgoogleやappleの方がマシかな。

[csouls]

バランスの取れた、良い管理方法

[field_combat]

この辺、一回ちゃんと見直した方がいいなぁ

[peketamin]

"一方で、同じ攻撃がCloudflare社に対しても行われていましたが、Cloudflare社員はセキュリティキーを利用していたため、突破されなかったことも報告されています"

[Itisango]

どうでも良いサイトほど凝ったセキュリティ設定ができる不思議。

[ya--mada]

（後で読む）1Pass使ってて、TOTPも同じツール使う理由がマルチデバイスでTOTP使うという利便性の為だという主張の時点でリスク評価割れる。その点が「重要なアカウント」の分岐視点なのだろうか？