MFAがどういう攻撃を想定してどういう理屈でセキュリティを高めてるのかよく分かってないんだけど、1台のスマホにLastpass(等のパスワードマネージャ)とTOTPを両方入れてるのって安全なの?
Conversation
Notices
-
Embed this notice
ねむにゃん (osa_k@social.mikutter.hachune.net)'s status on Thursday, 27-Apr-2023 12:06:56 JST ねむにゃん -
Embed this notice
zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 27-Apr-2023 12:06:56 JST zunda @osa_k スマホを盗まれてアンロックされたらログインされちゃうけど、パスワードが漏れた場合にはまだTOTPに守ってもらえそうに思います。
-
Embed this notice
ねむにゃん (osa_k@social.mikutter.hachune.net)'s status on Thursday, 27-Apr-2023 12:34:46 JST ねむにゃん @zundan パスワードが単独で漏れるタイプの攻撃が想定ってことなんですかね。現実的には1台のスマホに両方入れるのでスマホの紛失に対しては脆弱だけど、あまりそこを突っ込んだ議論はない?
-
Embed this notice
zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 27-Apr-2023 12:34:46 JST zunda @osa_k 僕の個人的な理解で間違ってたら申し訳ないのですが、MFAはパスワードが漏れたりパスワードリセットのメールが漏れたりした場合でもアカウントを守るために設定するもので、その点だけを考えれば、1台のスマホに両方あるから脆弱になるものではなさそうです。いっぽう、スマホを盗まれたり紛失したるする可能性は無視できなさそうなので、パスワードマネージャとMFAを両方入れちゃう人はMFAを設定いないくらいの強度しか必要と思ってないんだろうなあと眺めてます。(蛇足だけどMFAを1つだけ設定して安心してる人もMFAを失ったらどうなるか想像できないのかなって悲しくなります。あと、Google AuthenticatorのTOTPも弱くなっちゃったんだろうな、って)
-
Embed this notice
ねむにゃん (osa_k@social.mikutter.hachune.net)'s status on Thursday, 27-Apr-2023 13:01:20 JST ねむにゃん @zundan まあそうですよね。とはいえ現実的には
・スマホは各種サービスにアクセスする汎用端末として使われるので、パスワードを扱う必要がある
・追加の投資が不要なTOTPデバイスとしてスマホが要求されがちという状況なので、パスワードマネージャとTOTPを完全に別デバイスに分けろ!というのは理想論が過ぎると思っています。普通の人はスマホ以外にデバイスを持ち運ばないので……。
実際の運用としても https://social.mikutter.hachune.net/@osa_k/110268653739341786 のようにパスワードマネージャは追加の要素を求めるので、「MFAを設定しない」状態よりはだいぶ安全な気がしています。
-
Embed this notice
zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 27-Apr-2023 13:01:20 JST zunda @osa_k なるほどーパスワードマネージャの実装しだいな感じなんですね。僕はだいぶ怠惰なのでパスワードはgpgで、MFAはYubico社にお金を出して解決しちゃってます←
In conversation permalink -
Embed this notice
zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 27-Apr-2023 13:19:41 JST zunda @osa_k Yubico OTPはむっちゃベンダーロックインだしFIDOは実装複雑そうだしTOTPのところが多いのはしょうがないですよねー。僕はTOTPは見やすさもあってIIJ SmartKeyを使ってます。電話を更新したときにケーブルをつないで引っ越したらTOTPシークレットもぜんぶコピーされててびっくりしたんだけと、暗号化したファイルシステムがそのままコピーされたんだと思いたい…w
In conversation permalink -
Embed this notice
ねむにゃん (osa_k@social.mikutter.hachune.net)'s status on Thursday, 27-Apr-2023 13:19:42 JST ねむにゃん @zundan TOTPのクラウド共有が気持ち悪いのはそうで、YubiKeyみたいなセキュリティトークンが流行るといいですね……。TOTP + バックアップコードしか2FAの手段がないサービスもいくつかありますが……(手元で調べた範囲だとRedditとさくらがそうでした)
In conversation permalink
-
Embed this notice