Yahooの新しい認証のセキュリティ：オンデマンドパスワード
Yahooは認証からパスワードを削除し、代わりに on-demand password 認証システムを使用しようとしています。
この新しいシステムはどのように安全になるのでしょうか。携帯電話を盗んだ人がSIMを使用してメールに簡単にアクセスできたり、政府がサービスプロバイダーを強制することで簡単にメールにログインできます。
これはオンデマンドパスワードは安全ですか？
いくつかの点でパスワードよりも安全ですが、説明したように、アカウントは他の攻撃ベクトルに対して脆弱になります。
ベストプラクティスとして、適切に実装された2要素認証は、1つの要素が記憶されたパスワードであるか「オンデマンド」パスワードであるかに関係なく、1つの要素よりもはるかに優れたセキュリティを提供します。
インターネットベースの攻撃に対する脆弱性の低減
Yahooがこの代替認証システムを実装した理由の論理を見ることができます。スパマー、自動化された電子メールハッキングボット、および人間のハッカーがYahooアカウントにアクセスする主な方法の1つは、パスワードの再利用です。 Yahooメールは、長い間使用されてきた大きなサービスです。そして、その継続的なユーザーの多くは、技術的に精通していません。したがって、彼らはしばしば異なるサイトでパスワードを再利用します。ヤフーのメールアドレスで登録するまでです。その後、彼らのアカウントが侵害され、スパム、詐欺の勧誘（「私は誘拐されました、電信送金してください」などのメール）などが表示されます。
また、キーロガーやパスワード傍受などの典型的なマルウェア攻撃では、パスワードが1度しか使用できないため、アカウントにアクセスできません。一度期限切れになると、リモートシステムはアクセスできなくなります。これにより、悪意のある当事者が他のユーザーの電子メールにアクセスするための非常に一般的な方法への脆弱性が軽減されます。
したがって、これらのユーザーがこの電話ベースのパスワードシステムに切り替えた場合、これらの攻撃ベクトルは大幅に排除されます。
物理的攻撃に対する脆弱性の増加
ただし、ご指摘のとおり、ユーザーの電話が侵害された場合、アカウントへのアクセスを簡単に取得できるという点で、まったく新しい攻撃ベクトルが開かれます。これにより、攻撃方法がリモート（他の国からのインターネットベースのハッキング）から物理的なハックに変わります。したがって、ロックされていないデバイスに物理的にアクセスできる人なら誰でも、別のコンピューターから電子メールにアクセスできます。ただし、ユーザーは通常、電子メールを携帯電話と同期しているため、これに該当する場合は、デバイスにアクセスできる人なら誰でも携帯電話から電子メールを読み取るだけで済みます。
SMSセキュリティ
SMSセキュリティの問題もあります。SMSによって提供されるコードがログインに必要なすべてのコードである場合、それはさまざまな盗聴攻撃に対して脆弱です-特に米国全土の法執行機関に提供されている「Stingray」デバイスから。SIMカードを盗み（そしてそれを複製する可能性もあり）、別のデバイスに挿入してメッセージをトリガーするという、それほど高度ではない物理的攻撃もあります。まったく新しい攻撃ベクトルを開きますが、攻撃者は物理的にターゲットに近い（または機器を近くに持っている）必要があるため、ローカライズされます。他の要素（たとえばパスワード）は脆弱ではないため、2要素認証にはこの脆弱性がありません。同じ攻撃。
政府にはより効果的な方法があります
政府の問題については、通常、法的手段を講じてプロバイダーからデータを取得できるため、ハッキングによってWebベースの電子メールアカウントを攻撃する可能性が低くなります。プロバイダーから情報を取得するか、ターゲットにパスワードまたはデータを強制的に渡させます。
2要素認証をベストプラクティスとして使用
ただし、ユーザーが電子メールを安全に保つために合理的に可能な最善の措置を真に実行したい場合は、2要素認証を使用するのが最良のオプションであり、それが何であっても単一要素に依存するべきではありません。