電話番号に届く認証番号を使った「2要素認証」はもはや安全ではない

ネットサービスのアカウントを作ろうとして、「セキュリティのために電話番号も入力してください」とのメッセージに遭遇したことがある人は多いはず。パスワードと電話番号に届いた認証コードの両方でログインする「2要素認証(2FA)」は強力なセキュリティとして重宝されていますが、ハッカーにとってはほとんど無意味だとセキュリティ企業が警鐘を鳴らしています。 Bypassing 2FA - Secret double octopus https://doubleoctopus.com/blog/threats-and-alerts/bypassing-2fa/ 企業向けのパスワードレス認証技術を手がけるDouble Octopusによると、そもそもパスワードを用いること自体が基本的に安全なものとは言えないとのこと。そのため、2FAを導入したログイン方法もその場しのぎの対処法に過ぎず、せいぜいパスワードだけ

[ockeghem]

SMSによる追加認証が危険という話かと思ったら、SMSに限った話ではなかった。元記事は自社製品の広告なので、そのつもりで読むべし

[NOV1975]

ハッキング（フィッシング）されてたら安全な認証などない、ってそりゃそうだよね。元記事の「Passwordless authentication is 100% human proof」ってどういう意味だろうか。根拠がわからん。

[iww]

『「この問題を解決するには、パスワードを手放すしかありません」と述べて、自社のパスワードレス認証の有効性を強調しました』

[b-wind]

特権昇格されたらなんでも有りじゃ無いかなぁ（2FAかどうかもはやどうでも良い）

[coppieee]

ポジショントークだろ。そもそも2要素認証はパスワードが漏れたときの保険であって、パソコンがハックされたらどうしょうもない。

[y-kawaz]

特別今までと状況が変わったわけではない。幾つかの手口の確認記事。そもそも陥落済みの端末を前提にしてる時点で頭悪い。

[addwisteria]

そうだよね、NIST SP 800-63上ではSMSはSIMスワップ等のリスクから条件付きで経路外認証として許容だもんね、とかいう話ではなかった。メールよりはマシだが(メールへのアクセスが知識認証のみの場合2FAとして成立しない)。

[otoan52]

やっぱ二要素認証は簡単な割に効果高いんだな。

[nicht-sein]

"自社のパスワードレス認証の有効性を強調"はいはい。というか例にあげられたの殆ど二要素認証関係ないやん。そもそもソーシャルハッキングやらマルウェアで侵入されてたら、二要素認証どころの騒ぎではなくない？

[arajin]

“通信の間に割り込んで認証コードを盗み取る”

[Akkiesoft]

“自社のパスワードレス認証の有効性を強調しました。”あっはい

[k_wizard]

2要素認証関係なさそう

[tettekete37564]

いやまあプロキシ入ったりしたらなんでも筒抜けだしそれを防ぐためのTLSでしょ

[yuangao]

そら中間者攻撃できる状況なら、そうやろとしか。その状況ならパスワードレスでも安全と言えなくない？

[eos2323]

話始める前から汚染済み想定かよ

[shields-pikes]

まあ、端末がハックされてたら、何やっても無駄だよな。でも、そこまで最悪な事態になっていないほとんどのケースでは、2要素認証は一定確率で間違いなくリスクを減らすことは出来るので、無意味だとは思わない。

[rryu]

最終的にウェブ経由で機密情報を送るところを横取りされればどうしようもないというのはその通りなのだが、パスワードレス認証も同じはずで、自社のパスワードレス認証というのはそれを解決できているのだろうか。

[UhoNiceGuy]

プロキシはhttps使えば防げるし、後のはそもそもブラウザ等乗っ取られたらどうしようもない類？//自社製品の広告とのこと

[spark7]

言うほど簡単でもなかった。リバースプロキシのやつはドメインの打ち間違いとかDNSのハックでもするのかね。/ 元記事は認証サービス屋の書いたポジショントークぽい

[paradisemaker]

内容的には当たり前の話で特に新規性はなかった “Double Octopusは末尾で、「この問題を解決するには、パスワードを手放すしかありません」と述べて、自社のパスワードレス認証の有効性を強調しました。”

[hdampty7]

「マン・イン・ザ・ブラウザ攻撃を行おうとするハッカーは、まずフィッシングやソーシャルエンジニアリングなどの手口でターゲットのブラウザにトロイの木馬を仕込みます。」→２FA関係ねぇｗｗｗ

[ewq]

個人的にはSMSの場合、文字制限のためか正規のメッセージですら「？？」となることがあるので2要素認証使うならSMSじゃなくAuthenticator アプリにしてほしい

[REV]

「全てのデジタル認証は、担当者がハッキング（例：どーぴんぐちゃんこ喰わされる）されると終わりなので当社のヒューマンセキュリティーサービスを（注：実はハック済み）」

[hiroomi]

“特定のアカウントに紐付けられている電話番号を別の電話番号に変更できるようになります。”