高木浩光＠自宅の日記 - 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章）

■ 天動説設計から地動説設計へ：7payアプリのパスワードリマインダはなぜ壊れていたのか（序章） 7payの方式はなぜ許されないのか、なぜあんな設計になってしまったのか、どう設計するのが正しいのか、急ぎ書かなくてはいけないのだが、前置きが長くなっていつ完成するかも見えない。取り急ぎ以下のツイートでエッセンスを示しておいた*1が、すでにわかりかけている人達にしか刺さらなそうだ。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) July 8, 2019 同様のことは4年前にNISCのコラムに書いたが、消えてしまっているので、ひとまず、その原稿を以下に再掲しておく。 スマホ時代の「パスワード」のあり方を再考しよう 高木浩光 2015年2

[endo_5501]

googleのパスワード管理機能で自然とこれに近い運用になっている。現在の懸念は、googleからアカウントのバンされる可能性があること...

[REV]

グーグルクロームさんが、「パスワードを自動生成してブラウザで保存してやる。これで弱いパスワードとはおさらばさ。トラスト・ミー」っていうのでやらせてみたら、３分後には再ログイン不能になってた…

[commsou]

記事、移動しただけで消えてはいないですよ。https://www.nisc.go.jp/security-site/month/h26/columu/20150226.html

[xlc]

そもそもパスワードってのは同じ端末を複数人で利用する前提でログアウトとペアになってる設計。専用の端末を持てるなら不要。

[uunfo]

「端末用の認証」はWindows 10でPINと呼んでるやつか。全体としてそういう方向に進んではいるようだ。／ランダム文字列をパスワードにしたときのパソコン・スマホ間の連携めんどいよな。あと自動生成だと記号が弾かれた

[hevohevo]

1年に1回しか使わないサイトのパスワードはたいてい忘れているので、パスワード忘れ→メール→再設定をしている。もうこのサイト、メール受け取ったらログインでいいよなって思うことある。

[junjun777]

あるべき論。個人的にはもうじきにそうなると思っている。計算機リソースが安くなった現代に人間の脳で覚えるパスワードは無理。

[quality1]

パスワードマネージャー便利だなーと思ってるとアプリで死んだり、複数パスワードで死ぬ。最近は対応してくれることもあるけど。。

[houyhnhm]

端末がそこまでセキュアかどうか。あと、端末紛失とかが意外と発生する。ヘルプデスクのサポートやってるけど地獄。

[JORG]

RFC6238がもっと活用されるのかなと思いつつどうもイマイチ。便利なんだけどなあ。自分はIIJのやつ使ってます

[kenichiice]

「利用者にパスワードを決めさせる必要もなく、サイト側で決めてしまえばいいはず」「このとき心配になるのは、一般の利用者の方々が、「これはリモート認証なのか、ローカル認証なのか？」を区別できるだろうか」

[ytabuchi]

ふむふむ…

[haruten]

指紋認証はパスワードの代わりになるものじゃなくて、常時ログインしっぱなし端末を使うためのPINと同じ

[longroof]

はい(´・ω・｀)…

[odakaho]

メイン紛失時対策にサブSMS用の契約しとかないと不安だなあ

[akizuki_b]

クロネコは、スマホのブラウザからだと毎回アマゾン経由アカウントとパスワードを求めてくるので、地味に面倒くさい

[nijigenjin]

2015年から予測されたことをできなかったセブンイレブン

[adsty]

パスワードの扱い方については考え方がいろいろある。

[mjq]

スマホゲー（アズレン）はDLからプレイ開始までPW発行なし。他端末でそのIDを使うタイミングで引き継ぎコード（トークン）を発行して、それを他端末から入力して利用可能になる

[xufeiknm]

せめて数年くらいで官公庁がこのレベルに来てくれるとうれしい。いまだに定期変更強要する役所は害悪でしかない。

[o_mega]

パスワード忘れる毎に人力再発行運用するパスワードと、ログイン時にブラウザ/アプリがクッキーとかで覚えるセッションの違いが分からなくなっていく世界

[roirrawedoc]

パスワードが無くてメールでログインのサイトは既にあるよ。あまり広まらないのは習慣が優先されるから？

[question2010]

FIDO認証が一気に広がる機運が高まってくるのかな？

[trashtoy]

ここまで WebAuthn への言及が全くないことが意外

[Dursan]

「前置きが長くなっていつ完成するかも見えない」訳：激おこプンプン丸なのだ！

[oriak]

指紋認証便利すぎてあらゆるパスワード入力全部これになってほしい

[shidho]

chrome、どれがidでどれがパスワードかの判別をよく間違える(My DocomoとかJALのマイレージとかで頻発する)のであんまり信用してない。

[hasegawatomoki]

Mac使いはiPhone使ってSafariで統一すれば快適だよ！（とか言いつつたまに使うWindowsとも同期するために1passwordも併用してるのだけど。）

[raitu]

“パソコン内に保管せず、紙に印刷して金庫に保管するよう促すとよいでしょう。”スマホ認証のroot of trustが物理金庫か…🤔 将来的にはSIMにトークン保存できればいいが

[renos]

人類には早い気もする…

[misatamu5]

セブンペイはただ単純に軽んじてたんだよ

[frkw2004]

複数端末からの利用の時はトークンを使い回すことになるけど、手入力は現実的ではないよな。

[proverb]

1Passwordの身体になっちまったので、コピペ不可のフォームに稀に出会うとビキビキする

[igrep]

昨今スマホとパスワードマネージャーとを連携させる機能も大分発達してきたしなぁ。自動でパスワードを生成して登録するAPIまで作ってしまえば確かに要らなさそう。ちなみに自分は長年KeePass 2を使ってます。

[style_blue]

いまだにパスワードの定期更新させるサービスの多いこと。

[yoko-hirom]

物理鍵へ回帰する未来。多ビットパスワードを物体にハードコード。金属板の輪郭に溝を切ったりパンチ穴を開けたり。それを差し込む穴の開いたデコード装置とセットで。

[mofigan]

ブコメみたけどGoogleにBANされたことがある身としてはChrome同期なんて恐ろしくてできない。その人の判断だからどうでもいいんだけど個人的には伴侶と同じかそれ以上にGoogleを信用できるレベルになったら検討するレベル。

[shag]

chrome に覚えさせるのは chrome がある環境(PC, Android, Mac)に限定すれば快適なんだけどな。google account の管理がやばくなる。

[ooblog]

「使いまわさないで！~サイト運営者から渡される~ランダムな文字列（トークン）~「パスワード」と呼ぶには相応しくありません~引き継ぎをどうする~印刷して金庫」ビットコインのQRコードみたいな話に。

[mas-higa]

“その目的のために、これまで通りのパスワードを使ってしまうと、元の木阿弥です。” ほほう "しかし、Twitterやfacebookといった著名アプリ" はこの状態。