認証に電話網を使うのはそろそろやめよう

こんにちは、Azure Identity サポート チームの 高田 です。 本記事は、2020 年 11 月 10 日に米国の Microsoft Entra (Azure AD) Blog で公開された It’s Time to Hang Up on Phone Transports for Authentication の抄訳です。新着記事ではありませんが、以前より繰り返し様々な記事で参照されており、多くのお客様にとって有用であるため抄訳しました。ご不明点等ございましたらサポート チームまでお問い合わせください。 以前のブログ パスワードで攻撃は防げない - Your Pa$$word doesn’t matter では、パスワードに潜む脆弱性を明らかにしました。加えて、「でもパスワード以外の他の認証方法も侵害される可能性あるでしょ」という無数の DM や E メールに対する答えとして

[anonruru]

二段階認証が大切なのはわかるんだけど、二段階認証用アプリで使うアカウントで二段階認証を設定しなさいって言われるのがね…。

[addwisteria]

システム管理者ID等はこの扱いをすべきだが、一般利用者は電話網でも"何もしないより 99.9% 以上まし"( https://jpazureid.github.io/blog/azure-active-directory/all-your-creds-are-belong-to-us/ )であり、まずはSMSでいいのでMFAを、となるかな…。

[urandom]

RFC 6238のTOTPであって標準技術なのでエンドユーザが実際に使うのはMicrosoft AuthenticatorでなくGoogleでもAuthyでも何でもいい。 / TOTPはセキュリティはもちろんユーザにとっての利便性も高い（複数デバイスで安全に同期可能）。

[gabill]

もしスマホを紛失したら、もろもろ復旧する自信ない。ahamo使ってるんでスマホを無くしたら新しいスマホに替えることすら出来ないかもしれない。

[richmikan]

Microsoft Authenticatorの宣伝記事だった。ちなみに私は嫌いだ。

[canadie]

Microsoft/Google AuthenticatorはSMS認証に比べれば全然マシだしクラウドにバックアップ取れるので本体紛失しても大丈夫。それよりも三井住友とかViewカードとか見たことがないアプリを使わせるのはなぜだ。金融系特有の事情？

[nekoline]

“PSTN を利用するのはやめて、Microsoft Authenticator を使いましょう。” うーん

[kz14]

日本のPSTN網は閉鎖性が強くて安全では？

[kamiokando]

yahooって度々ショートメールで認証させてくるので嫌い。

[hiroomi]

認証が複数あり、複数の設定施したスマホが壊れて入れ替えする作業考えるとぞっとする。あ゛~

[tattyu]

電話網もメールも辞めて欲しい。送信者毎に個別のIDを払い出すタイプのメッセージングツール出ないかな。。。

[youko03]

“Microsoft Authenticator は暗号化された通信を使用しており、認証ステータスについての双方向通信を行えます。/2019 年だけでも、アプリロック、ロック画面からの通知の非表示、アプリ内のサインイン履歴の機能などを追加”

[pwatermark]

そりゃMFAアプリとか使えばいいのはそうなんだけど、「なくす」リスクがあるんで復旧手段として(復旧キーと同列で)SMS認証という逃げ道があると、すごく安心なんだよね

[atsushieno]

日本のPSTNの信頼性ってローミング時にも前提にできるもんなんだろうか。現地業者の回線使うよね。（素人なのでわかっていない）

[collectedseptember]

アプリ名がGoogleもmicrosoftもauthenticaterが正式名称なのがわかりにくい。

[shag]

TOTP は標準技術だからいいよね。

[mather314]

二要素認証がもはや必須でSMSや音声は二要素認証に使うべきでないのも同意。ただ、TOTPのリカバリコードとか絶対紛失するのでそういうときの最終手段に電話番号でのリカバリなどがあると嬉しいと思う。

[enemyoffreedom]

TOTP認証の利用がもっと増えてほしいが。日本の金融系サービスは独自の認証アプリやらドングルやらに注力するよりは標準に合わせようぜと

[j1nsuke]

金融系はアプリにするんじゃなくてrfc6238でもrfc4226でもいいからそっちに準拠してくれたほうがありがたいんだよね。下手すると容量300MBとか食うし、絶対そこまで個別に容量割いてすることじゃない。

[hiroshe]

オレオレ詐欺対策にも使えないかなと考えている

[dodecamin]

わーくにで大変人気のあるファクシミリもそろそろ盗聴されたりしないのかと心配になる。受け取り手すら指定できないあの通信網で機微な医療情報をやり取りしてるわけで。

[Itsuki_n22]

某2FAが突破されたという件についての記事でも述べたけど、SMSだとログインの試行をアカウント所有者が気付けるのけど、アプリだとそれができないのがね... 2FAの設定と失敗の通知をペアにしないと完全上位互換ではない

[paradisemaker]

ポジショントークやね。Authenticator がよりセキュアな選択だとは思うけど、ソーシャルエンリジニアリングを防げるわけでもないし、SMS より分かりやすいとも言えない。

[aceraceae]

電話機なんか捨て去りたいんだけど逆に電話が必須アイテム化してるのがほんとに嫌。

[minamihiroharu]

素人理解だと「電話回線は盗聴が簡単でろくな暗号化もされてないからダメ」って主張だと思うが、NTT他のキャリアの意見はどうなんだろうね。

[yhachisu]

全部passkey含む生体認証か、yubikeyに対応してくれ。smsとかメールとかauthenticatorとか、数十秒〜数分かかるのダルい

[scipio1031]

SMS認証は減りつつあるけど、YouTubeログインのためには別の端末のYouTubeアプリを開いてコードを入れろとかもめんどくさいよね。Appleも似たようなのがある。別端末手元にある前提が腹立つ。

[maninthemiddle]

主張自体はよく分かる。最近日本でも携帯ショップの窓口に偽の申請出してSIMを乗っ取る手口があったしね。

[Fluss_kawa]

日本のSMS通信の経路考えるとべつに平文で流れてても大きな問題はない気がする。

[airstation]

全てのサービスがパスキーに対応すれば解決！

[keren71]

海外にいると詰むやつ

[tohima]

アメリカと日本の電話網は事情が違うだろうし、日本の方がだいぶ信頼性が上だと思うし、アプリよりもOSの機能が進化すべきだよなー

[kazokmr]

チームで管理している複数のawsアカウントの電話認証を行いたいのに携帯電話だと掛かってこず、サポートから電話してもらう手動認証したり自宅の固定電話使ったりと面倒だったなぁ

[gwmp0000]

金が無いと電話網の他に手段が無い 電話番号も認証用が欲しくなった ブラウザで完結するならまだいいけど認証アプリ型は困る 無限にアプリをインストール出来ない