電話のTOTPキーはどの程度安全ですか？
当社は、ソフトウェアOATH TOTPまたはyubikey OATH OTPを使用してMFAに移行する際にいくつかのオプションを検討しています。シークレットが保存されている場所に関しては、ユビキーまたは同様のハードウェアデバイスが、保存されているメモリへの物理的な攻撃に対して強化されており、強制的にキーを取得しています。
IPhoneまたはAndroidデバイスには、キーを保存するための安全なメモリの場所がありますか、それとも他のデータと同じパーティションにあるだけですか？そのセキュリティに関して与えることができます。
私の知る限り（そしてこれについて具体的な事実はありません）、iphone/Androidフォンには安全なデータ用の特別なストレージエリアがありますnot。ただし、OAUTH type app as 2nd Factor authenticationを使用する場合、これは通常、大きな問題にはなりません（これが認証の唯一の手段ではありません） -パスワードも必要です）もちろん状況によって異なります。
Yubikeyのようなものと比較して、次の長所/短所または考慮すべき考慮事項を想像します。
- デバイスの紛失-スマートフォンがなくなったときに、人々は簡単に気づきます。また、彼らはあまりにも長い間自分の携帯電話から離れないでください。認証にのみ使用する必要があるyubikeyのようなものでは必ずしもそうではありません（あまり頻繁ではないかもしれません）
- ユビキーはおそらくより良いハードウェア保護を備えており、それは専用デバイスです
- どちらの場合も、アクセスを取り消すための適切で迅速な手順が必要です。誰かが自分の電話/キーを紛失した場合、できるだけ早く通知し、このデバイスへのアクセスをブロックする必要があります
- コスト-すでにスマートフォンを持っている場合、yubikeyは追加料金がかかりますが、持っていない人にははるかに安くなります
- 展開-大量のユビキーを購入して人に渡すのではなく、スマートフォンユーザーに共有キーを配布する方が難しい場合があります
- 教育-あなたの状況に応じて、人々は彼らの電話のアプリで幸せになるかもしれませんが、別のデバイスを好む人もいます。
- 使いやすさ/機動性-George Baileyが指摘したように、自動的にキーを入力するため、yubikeyを使用する方が簡単です。ただし、携帯電話を使用してアプリにアクセスする場合は、USBポートがないとyubikeyはまったく使用できません。