2要素認証を持っている限り、弱いパスワードを使用しても安全ですか？
私は強力なパスワードを使用するように注意しています（ How Hay is Your Haystack によると、私のパスワードは150万世紀のクラックアレイを大量にクラックすることになります）、サイト間でパスワードを再利用していません。利用可能な場合は2要素認証を使用します。
しかし、これらのパスワードを常に入力することは、特に電話やタブレットでは、本当に面倒です。ある友人が最近、Gmailなどの2要素認証を有効にしているサイトに比較的弱いパスワードを使用しないのはなぜかと尋ねましたが、実際には適切な答えがありませんでした。誰かが私のパスワードを力ずくで押しつけたとしても、彼らはまだ私の電話を物理的に所有している必要があります。
それで、私自身の便宜のためにGmailのパスワードを弱めることは安全ですか？それとも私が考慮していない現実的なシナリオはありますか？
説明：単純なパスワード（「a」など）を使用することについて話しているのではありません。 10文字程度の検索スペースを持つ16文字のパスワードから移行することについて話している30 10桁の検索スペースを持つ8文字のパスワードに14。
特にGoogleの場合、2要素認証を使用する場合、検索スペースがオンになっている16文字のパスワードから「パスワードを「弱める」ことは安全です10の次数30 10桁の検索スペースを持つ8文字のパスワードに14「適切な8文字のパスワードを使用する限り（つまり、完全にランダムで、サイト間で再利用されません）。
2要素認証の長所は、2つの要素が異なる種類の攻撃を必要とするという仮定にあり、1人の攻撃者が1つのターゲットに対して両方の種類の攻撃を実行することはまずありません。あなたの質問に答えるには、強力なパスワードと比較して弱いパスワードで可能な攻撃と、弱いパスワードを攻撃できるが長いパスワードを攻撃できない誰かが2番目の認証要素を攻撃する可能性がどの程度あるかを分析する必要があります。
これで、「10桁の検索スペースを持つ16文字のパスワード間のセキュリティデルタ30「」と「10桁の検索スペースを持つ8文字のパスワード14"はあなたが思うほど大きくはありません-弱いパスワードが影響を受けやすい攻撃はそれほど多くありませんが、強いパスワードはそうではありません。パスワードの長さに関わらず、パスワードの再利用は危険です。同じことが当てはまりますMITM、キーロガー、およびその他のパスワードに対する一般的な攻撃のほとんど。
パスワードの長さが意味のある種類の攻撃は、辞書攻撃です。つまり、攻撃者が辞書でパスワードを徹底的に検索する攻撃です。ログイン画面で考えられるすべてのパスワードを試すことは、検索スペースが10の場合は明らかに不可能です。14、しかし攻撃者があなたのパスワードのハッシュを取得した場合、10のサーチスペースについてこのハッシュをチェックすることは現実的かもしれません14 10のサーチスペースではない30。
ここで、質問でGoogleを指定したという事実が重要です。 Googleはパスワードのセキュリティに真剣に取り組んでおり、ハッシュされたパスワードを安全に保つために必要なことを行います。これには、ハッシュされたパスワードが存在するサーバーの保護、ソルト、ペッパー、キーストレッチングを使用して、何らかの方法でハッシュされたパスワードを取得したハッカーを阻止することが含まれます。
攻撃者が上記のすべてを回避することに成功した場合、つまりソルトとハッシュされたパスワードのGoogleのデータベースを取得できる場合andはシークレットペッパーを取得できますandは実行できます10の検索スペースでキーストレッチを行う徹底的な検索14、それからあなたがCIAのディレクターでない限り、攻撃者が2番目の認証要素をバイパスするためにあなたの電話をハッキングすることに時間を費やすことはありません-2つを使用しない何億ものGmailアカウントをハッキングするのに忙しすぎるでしょう-要素認証。このようなハッカーは、あなたをターゲットにしているのではなく、全世界をターゲットにしているハッカーです。
データが非常に価値があり、そのような強力なハッカーがあなたを明確に狙っている場合は、最初からデータをGmailに置くべきではありません。さらに言えば、インターネットに接続されているコンピュータにそれを置くべきではありません。
弱いパスワード+ 2要素認証might強力なパスワードだけよりも安全ですが、強力なパスワード+ 2要素認証よりも安全性は低くなります。
それはすべて、どれだけ弱いかによって異なります。最後まで行ってパスワードを簡単にすると、事実上、1要素認証（電話へのGoogleテキストメッセージ）になります。ただし、これは元の強力なパスワードよりも安全である可能性があります。
まず、基本的なコンセプト [〜＃〜] tfa [〜＃〜] ：-ユーザーが知っているもの（使用しているパスワード）-ユーザーが持っているもの（googleの場合、これはあなたの電話：彼らはあなたが提供した電話番号にあなたに確認コードを送ります）
まず、あなたが言ったことによる判断を理解する必要があります。
しかし、これらのパスワードを常に入力することは、特に電話やタブレットでは、本当に面倒です。
これは、多くの場合、スマートフォンからGmailを使用していることを意味します。私がしばらくスマートフォンを盗んだり、持ち去ったりした場合、TFAはパスワードでOFAになりました。さらに言えば、一部の国では、携帯電話会社で働いている人とつながりがあり、適切なアクセス権がある場合は、電話番号を人に通知するだけです。もう1つは、攻撃者が認証プロセスを傍受できるということです。つまり、攻撃者は、メッセージを取得したと思ったときに、すぐに電話を盗むことができます。この偏執狂を経験した後、私は別の方法から始めます
少し考えてみてください。TFAはずっと前に使用され、現在は毎日数百万の顧客に使用されており、10000（4桁の数字）のスペースがあります。これはあなたの銀行カードです。一生の間にあなたのカードはどのくらいの頻度で悪用されましたか？私は多くないと思います。そして、私はほとんどの人があなたのメールを読むよりもあなたのお金を手に入れることを選ぶであろうと確信しています。
別のポイント-グーグルは最悪の会社ではなく、彼らはあなたのデータが安全であることを本当に確認します（誰かがそれを証明しない場合-彼らは確認する競争相手に負けます）。したがって、彼らがすべてを正しい方法で処理し、TFAを実装した理由が、低いパスワードを活用することにあると私は確信しています。
これにより、セキュリティにおける最も重要な問題の1つが発生します。セキュリティ対策は、秘密にしたい情報の種類に適切でなければなりません。 「40桁のパスワードを使用して明日の天気予報にアクセスします」というようなメッセージが聞こえたときはいつでも、私の質問は、なぜ、123だけをパスワードとして使用するのですか。もし私がそれを手に入れたらどうなるでしょう-あなたはただ別のアカウントを作成します。だからポイントは何ですか。もちろんこれは誇張です。
しかし、あなたのやり取りが非常に重要であると思うので、誰かがあなたの電話を使い続け、それを取得するために16文字をブルートフォースにする-ほとんどの場合、Gmailはあなたに適していません。上手。
質問を独自の回答として構成しました。
リラックスできますか？はい。 2番目の要素を導入すると、セキュリティが向上します。
2ファクターを追加して、パスワードを32文字から31文字に落としても、セキュリティをかなりのマージンで落としていないことを、来週の給料に賭けても構わないと思います。パスワードの長さを2文字に落としても、同じ賭けをするつもりはありません。境界はどこですか？ 2Fは何文字ですか？それが私が答えたい質問です。
関連する質問は、どれだけリラックスできるかです。それぞれの緩和策はどの程度回復力がありますか？どのくらい独立していますか？それらはお金の質問です。
ヘニングが指摘するように、これは間違いなく信頼の問題ですが、追加する重要な要素が1つあります。
双方向認証がモバイルタンに基づいている場合、実際には、サイトが電話でアクセスされていない場合にのみ、追加のセキュリティ層が追加されます。それ以外の場合は、2つの層ですが、実際には1つだけです。したがって、1つを弱めることはお勧めできません。
編集：CodesinChaosがすでにこの回答を投稿しているのを見ました。
まあそれは個人的な好みについてです。 Gmailでは2段階認証が導入されていないため、弱いパスワードを使用できます。セキュリティの追加レイヤーとして存在します。 2段階認証で弱いパスワードで問題が発生する可能性は非常にまれですが。ユーザーが電話にアクセスできない場合に備えて、バックアップコードとアプリケーション固有のパスワードのリストがあります。しかし、私は強力なパスワードを使用していましたが、力ずくで何百万年もかかるものではありませんが、20〜30年で十分です。 ;）
毎回パスワードを入力したくない場合は、 Keepass のようなパスワードマネージャーを使用できます。これには自動入力機能があります。今、私のパスワードはすべて異なり、少なくとも20のランダムな文字です。
はい、確かに、ただし、基本的に1要素認証（つまり、トークン）で終わるように、パスワードを簡単にしすぎないでください。
GmailとDropboxは、OTP（ワンタイムパスワード）を、携帯電話に配信される、または所有するデバイスで計算される2番目の要素として使用します。これは、覚えているパスワードよりもはるかに安全です。
ご指摘のとおり、唯一のシナリオは次のとおりです。1.所有しているもの（OTPを生成または受信する携帯電話またはフォブ）が紛失または盗難にあった。 2.弱いパスワード（知っていること）がN回の試行で推測またはブルートフォースされます。3. OTPジェネレータおよび/またはログインメカニズムは、N回の試行の前にアクセスを拒否しません。
例として、私のクライアントの1つはリモートVPNアクセスを持っています-ログオンIDは電子メール（非常に推測しやすい）で、パスワードは4桁のPINと6桁のOTPで構成されています。 OTPジェネレーターが搭載された私の電話が盗まれた場合、泥棒は4桁のPINを推測する必要があります。 5回または6回の試行後にリモートアクセスがタイムアウトした場合、数学ではかなり安全であるとされています。
このメカニズムは、誰も知らない携帯電話のPINとまったく同じです。 AppsまたはExchangeでGmailを使用している場合は、携帯電話にPINポリシーを適用して、OTPテキストメッセージまたはジェネレーターへのアクセスを拒否することができます。
結論：弱いパスワード（少なくとも4文字/数字）とOTP（6桁の2要素トークン）は、10桁の強力なパスワードよりもブルートフォースに対する保護を提供します。ただし、これは、PINで保護されていない携帯電話またはFOBへのアクセス権を持つユーザーが弱いパスワードを推測できる場合には効果的ではありません。つまり、あなたの生年月日（弱いパスワード）を知っていて、保護されていない携帯電話にもアクセスできる悪意のある友人です。
これらの2段階のパスワードスキームの脆弱性は、配信チャネル、つまりワイヤレスプロバイダー、SMSルーティングネットワーク、携帯電話です。これらのいずれかが攻撃され、Googleから送信されたワンタイムパスワードを傍受する可能性があります。
ただし、アカウントに対する攻撃が厳密に技術的であることはまれであり、ほとんどの場合、チェーン内のどこかで人間をゲームに巻き込みます。
Googleのシステムと同じように、Wiredは保護を完全に無効にする攻撃を説明する article を実行しています。
攻撃者はワイヤレスアカウントの所有者になりすまして転送番号をアカウントに追加し、SMSの代わりに「電話をかける」オプションを選択してコードを配信しました。 GoogleがOTPで電話をかけたとき、その呼び出しは攻撃者の電話に転送され、Googleアカウントにアクセスできました。
代わりに Keepass を使用できます。これは、さまざまなモバイルデバイスに移植されています。強力な（データベースがローカルであるため弱い）パスワードを一度だけ入力し、強力なパスワードを自動挿入するように設定します。 gmail。
デバイスがUSB-Aキーボードをサポートしている場合は、静的パスワード（ Yubikey （ nano ）と静的パスワード（またはデフォルト [〜＃〜] otp [〜＃〜] モード、たとえば linked to LastPass ）。次に、あなたの唯一の不便さ（そして安全性）は小さなボタンを押すことです。
editYubikey NEO はNFCをサポートしているため、次のことができます。それぞれの電話でも使用できます。LastPassで使用するための手順がいくつか見つかりました こちら