2段階認証のバックアップコードの仕様をどのように決めたか紹介します - pixiv inside

こんにちは、プラットフォーム開発部で認証認可基盤の開発を担当しているabcangです。 先日pixivのログイン画面で2段階認証が利用できるようになりました。現時点ではTOTP(Time-based One-Time Password)認証アプリとバックアップコードの2種類が2要素目の認証手段として利用できます。バックアップコードは、メインの2要素目の認証手段が使えなくなった際に代わりの認証手段として使用できるコードで、2段階認証を有効化したときに生成しています。 バックアップコードは長ければ長いほど安全ですが、長いといざ使うときに入力が大変ですし入力ミスもしやすくなります。しかし、逆にバックアップコードを短くしすぎるとセキュリティ的に問題になるため、利便性とセキュリティのバランスを取る必要があります。 今回はこのバックアップコードの仕様をどのように決めたかをご紹介します。 NIST SP