2FAで使用した場合のパスワードの安全度
passwordsの2要素認証と、SMSで受信した1つのタイムコードがあります。
これで通常、ユーザーが作成できるpasswordsを8文字以上の長さで、小文字と大文字、1つの数字で制限できることを知っています。
しかし、モバイルコードをpasswordsと一緒に使用しているため、パスワードの複雑さに関する要件をどの程度緩和できますか？例えば6文字長のパスワードのみを許可できますか？
パスワードの複雑さは、アカウントログインでのブルートフォース試行だけではなく、2FAが軽減に役立ちます。しかし、パスワードの複雑さまたは、パスワードハッシュデータベースがリークする状況から保護します。
2FAは、2FAがオンになっていて強制されている場合にのみ役立ちます。デバイスを「承認」するオプションがある場合、ユーザーが保護するために必要なのは短いパスワードだけです。
概念的に
しかし、ブルートフォース検出対策についてはどうでしょうか？そして、違反が発生したときにパスワードをリセットするのはどうですか？そして、他のすべての保護層はどうですか？複数の保護層を使用する場合、各層を減らすことはできませんか？
技術的にはそうですが、保護の各層の維持に全力を注ぎます。これは、いずれかの層の障害が発生する可能性が高くなり、他の層がより重要になるためです。実際には、他のレイヤーに依存しているために1つのレイヤーの強度を人為的に減らすと、それ以降は対処しなければならない「技術的負債」が発生します。
特にパスワードの長さ
しかし、私は2FAを愛するアクセシビリティの専門家と協力してきました。これは、人々がはるかに単純なパスワードを持つことができる意味があるためです。そして、それは却下する要素ではありません。入力が簡単なパスワードとプッシュ認証アプリ（SMSではない）を備えた電話を使用すると、パスワードを覚えたり入力したりするのが難しい人は、アカウントのセキュリティが大幅に向上し、プライバシーを維持する必要がなくなります（多くの場合、ヘルパーはログインする必要があります）人々のために）。
したがって、セキュリティに関するすべてのものと同様に、リスクとコストのトレードオフがあります。ユーザーが自分のアカウントをより適切に独立して管理でき、緩和策が講じられていれば、パスワードの複雑さを軽減できると私は喜んでサポートします。