二要素ログインに使用される携帯電話の紛失を緩和する
次のシナリオを考えてみます。ジョンは、プライマリメールアカウントにGMailを使用し、パスワード管理システムとしてLastPassを使用しています。これらのアカウントはどちらも、ログインの第2要素認証としてGoogle認証システムモバイルアプリケーションを使用しています。ジョンは携帯電話を紛失し、パスワードを知らないため、GMailにログインできなくなりました。 Johnはまた、マスターパスワードを知っている間はLastPassにログインできません。また、2番目の要素がなく、メールアカウントにアクセスできないため、2番目の要素を無効にすることもできません。ジョンは自分のアカウントからロックアウトされています。
ジョンが2番目の要素であるデバイスの不足によるアカウントアクセスの損失を防ぐために利用した可能性がある現在のソリューションには、次のような緩和策の設定が含まれます。
- バックアップコード/マスターコード
- SMS /電話
- 代替メール
ただし、これらのソリューションの実行可能性は多くの要因によって異なります。
上記のシナリオは具体的ですが、第2要素のデバイスとして使用されている携帯電話を紛失した場合の影響を軽減するために何ができるのか一般的に尋ねます。
一般的に言えば、notには単一障害点があるはずです。携帯電話（紛失、破損、盗難の可能性があります）、他のコンピューターまたはデバイス（破損の可能性があります）、紙（紛失、破損の可能性があります）、またはメモリ（特に使用しない場合は物を忘れることがあります）頻繁すぎる）。
通常、パスワードには回復のためのフォールバックがある（例：パスワードリセットリンクが代替の電子メールアドレスに送信される）ように、2要素認証も同じように実行する必要があります。組み込みのものがない場合は、次のことを行う必要があります。あなた自身の。追加するすべての「ステップ」が1つの問題を解決するが、新しいものを導入するため（たとえば、自分の電子メールパスワードを忘れた場合、別のパスワードを使用してリセットできますが、今はフォールバックも必要です）私の代替の電子メールパスワード）。
私の問題は、フォールバック戦略に「クローズドループ」を作成したことです。電子メールにアクセスするにはパスワードマネージャーが必要であり、パスワードマネージャーへのアクセスを回復するには電子メールが必要です。 LastPassの回復を計画する場合、LastPassへのアクセス権に依存しているものを当てにすることはできません...
この問題を軽減するための万能の解決策はないと思います、そしてあなたの提案はすべて状況に応じて有効なものです。個人的には、GMailアカウントを保護する方法を次に示します（私はまだパスワードマネージャを使用していないため、電子メールパスワードは私の記憶にコミットされます）。
- 私のパーソナル（デスクトップ）コンピューターは「信頼済み」としてマークされているため、コードは不要で、たまに（30日ごとに）私のパスワードを要求するだけです。
- 私のAndroidデバイスにはGoogle認証システムが搭載されていますが、それを開くには（または、GMailアプリ自体を開くには、つまり、2要素全体がまったく無意味です...） PINをアプリブロッカーに提供します（つまり、誰かが私の電話にアクセスしても、彼は私の電子メールを読むことができません）。
- 別の電話番号が登録されているので、私が使用できない場合はSMSを送信できます。
これにより、ほとんどの「壊滅的な」シナリオから私を保護します。
- パスワードを忘れたと同時に電話を紛失した場合でも、デスクトップからGmailにアクセスできます（管理アクセスを回復するのは少し面倒です）。
- パスワードを忘れて、同時にデスクトップが壊れた場合でも、電話からGmailにアクセスできます（PIN-よく使うもの）を覚えていれば）。
- デスクトップが壊れて電話が同時に失われた場合でも、別の電話からパスワードとSMSを代替電話に使用して、別のマシンからGmailにアクセスできます。
すべてのレベルで2因子特性を維持しながら：
- デスクトップにアクセスするには、デスクトップとログイン資格情報に物理的にアクセスする必要があります。
- 電話にアクセスするには、電話とPINに物理的にアクセスする必要があります。
- 他の場所から自分の電子メールにアクセスするには、電話（プライマリまたは代替）とパスワードに物理的にアクセスする必要があります。
（注：厳密に言うと、巧妙でサイレント/クイックの攻撃者が関与している場合、最初の2つのケースでは物理的なアクセスのみが必要ですが、これはこの回答の範囲を超えています）
Googleの2要素認証は、ワンタイムパスワードの使用をサポートしています。
上記のシナリオが発生した場合、ユーザーはリストを印刷して（正しく思い出せば、約10個の使い捨てパスワードが含まれています）、安全な場所に保管することになっています。