ITは電話でのみパスワードを提供しますが、それは本当に電子メールより安全ですか？
毎年、機関のサーバーへの接続に使用するVPNアカウントで自動パスワードリセットが行われます。 VPNアカウント/パスワードは教育機関のIT部門によって管理されているため、新しいパスワードを取得するために、アカウントコントローラーにフォローアップするために毎年メールを送信する必要があります。彼らのポリシーは電子メールを介してパスワードを送信しないことなので、これは常に電話で終わります。
メールでパスワードを送信するのが悪い理由は漠然と理解していますが、正直なところ、phoneを使用して誰かにパスワードを教えるほうがよい理由はわかりません。 ポリシーを変更する可能性が0％である（実際にはチャンスがない）と仮定すると、電話でパスワードを誰かに伝える方が電子メールより安全なのはなぜですか？
私は主に電話/メールが第三者によって傍受される機能に焦点を当てていますが、@ Andrewはメールの永続性について良い点を指摘しました。
this Q/A にはいくつかの優れた情報がありますが、その質問は、ログイン情報を送信する最も安全な方法に関するものです。電話とメールのセキュリティについて。
メールは、メールサーバー上であれ、誰かのパソコン上であれ、どこかに保存されます。それは顧客に直面している環境でない限り、電話は通常そうではありません。
このポリシーは、ユーザー名とパスワードが別々のチャネルを介して送信される場合に一般的です。
認証ペアが分割され、異なる方法で送信される限り、どのチャネルでもかまいません。
正しい2つのチャネルを傍受することは、認証ペアが単に通過する1つのチャネルを監視するよりもはるかに難しいため、これは受け入れられているベストプラクティスです。
この背後にある理由は、パスワードの変更は、パスワードを忘れたときだけではなく、アカウントが侵害された疑いがあるときです。このため、パスワードの変更は「帯域外」で行われ、パスワードの更新が簡単に取得されないようにします。
ITセキュリティの世界では、完全に安全であるとは限らない場合があります。攻撃者がどこか他の場所を試してみるのに十分なほど厳しくても問題ありません。
メールは（@Lucが指摘するように、常にではありませんが）インターネット経由でプレーンテキストで送信される場合があります。つまり、メールプロバイダー、ISP、受信者のISP、受信者のメールプロバイダー、またはその間のネットワーク機器によってログに記録される可能性があります。送信者は、メールを開くときに誰が肩越しに見ているかを制御することもできません。
電話をかけると、正しい相手と話していることを確認する際の制御が強化されます。公共の場所などにいる場合、相手は応答を拒否できます。さらに、記録されていないという保証はありません。少なくともチャンスはあります-どこかのデータベースに100％の確率で存在する電子メールとは異なります。
電子メールと電話での会話の両方が記録されている場合でも、電子メールデータベースで「パスワード」を検索する方が、音声録音を検索するよりもはるかに簡単です。
ただし、ベストプラクティスでは、アカウントのパスワードを知っている必要があるのは1人だけであり、それがアカウントを所有する人です。管理者はそれを知ってはならず、またサーバー（ハッシュされたパスワード）も知らないはずです。
これを行う通常の方法は次のとおりです。パスワードが（最近の特定の値に対して）最近期限切れになった場合、ユーザーは古いパスワードを使用できますが、認証されるとすぐに（ログインする前に）、パスワードの変更を強制されます。 、その後すぐに切断されます。しばらく前にパスワードの有効期限が切れている場合、管理者は有効期限が切れたパスワードを「最近有効期限が切れた」と短期間（10分など）マークすることができます。管理者はこのパスワードが何であるかを知る必要はありません。ユーザーが自分のパスワードを忘れた場合、管理者は短時間（たとえば、10分）のパスワードを発行することができ、これによりパスワードの即時変更も強制されます。
また、ユーザーが昨年に自分のパスワードを変更した場合、そのユーザーは変更を免除される必要があります（最後の変更からちょうど1年後まで）。
1年に1回パスワードを変更する必要があるという理論も、ほとんどの場合非常に疑わしいものです。パスワードが侵害された場合、通常はすぐに最大限に利用されます。攻撃者に6か月だけのアクセス（平均）を与えるだけでは、まったく意味がないように見えます（つまり、6日間だけ）。これは、リソースが保護する価値がある場合、2要素認証（2番目の要素は毎回一意である（Google認証システム、OTP、OPIE、チャレンジ/レスポンスなど））を示唆しています。
管理者は、回避できる場合、ユーザーのパスワードを知らないはずです。必要に応じて、彼らは自分のOWNパスワードを持つ別のユーザーになることができる必要があります。このパスワードは、監査ログに書き込まれます。これは、「管理者」のレベルが複数ある場合（つまり、パスワードを変更できるが、監査ログには影響を与えない人がいる場合）に特に重要です。
小さな難読化（音声や画像によるセキュリティなど）は、セキュリティなしで自己満足を助長するため危険です。
安全なシステムでは、ITが提供するパスワードは一時的なもので、1回限りの使用、ランダムな文字列でなければなりません。そのため、ユーザーはすぐに入力して独自の新しいシークレットパスワードに変更する必要があります。 ITは、ユーザーの「実際の」パスワードを知ったり送信したりしてはなりません。
ユーザーはリセットの前に綿密に調査する必要があり、それは音声通話、質問をする、答えを得る、完了することではるかに簡単です。
仮に。通話中にパスワードが傍受された場合、パスワードが使用される時間はありません。ただし、電子メールは読まれる前にしばらく無視されることがあり、攻撃者が最悪の事態を招く可能性があります。
さらに、録音された音声通話を使用して、後でユーザーが偽装されているかどうかを識別できますが、開いているメール画面またはリモートメールサーバーを誰が見たかはわかりません。
私の10年の経験は金融機関環境での経験なので、セキュリティのニーズがそれほど厳しくない場合、このレベルのセキュリティは経済的に正当化されない可能性があります。 IT組織の支払いは高額であり、ほとんどのシステム/アプリはいずれにしてもWebベースのセキュリティを採用するため、音声によるITパスワードリセットの日数はいずれにしても数えられます。
メールのセキュリティを確立することは困難です。メールはアーカイブに保存される可能性が高いです（特定の企業については 一部の規制 もあり）したがって、電子メールでパスワードを送信することは、その観点からは悪い考えです。電子メールの傍受も発生する可能性があります。
一方、電話は録音される可能性は低くなりますが、電話の傍受または録音が存在する可能性があります。だからそれは素晴らしいアイデアではありません。固定電話はコンピューターシステムよりもタップするのが難しいというコメントを読みました-同意しません。従来の電話回線をテーピングすることは、リモートサーバーをハッキングするよりもはるかに簡単です。 VOIP電話には新しい技術が必要ですが、それほど難しいことでもありません。ハブを接続し、PCをハブの1つのポートに接続すると、すべてのパケットのコピーが作成され、VOIPデコードソフトウェアが豊富になります。携帯電話の信号を傍受するのはおそらく難しいでしょうが、私はそれを行っていません。
電子メールで電話を使用することの1つの（多分知覚される）利点は、パスワードを提供したい人にパスワードを提供しているという保証です。パスワードをリセットしなければならない自分自身がシステム管理者であることは、証明できることです。メールを送信しても、相手が誰なのか本当にわかりません。なりすましメール、アカウントの乗っ取りなどが考えられます。本人を知っていれば、本人の声を認識できます。いくつかの質問をして信頼性を確認できます（メールでも確認できますが、電話で行うと安心感があります）。
現在、管理者がパスワードを設定し、それをパスワードのままにして、ユーザーが自分のパスワードを設定できないようにすることは、私の意見では本当に悪い習慣です。これらの要因により、パスワードを送信する必要があり、送信されるものはすべて永遠にパスワード。
ポリシーには他にありますか？多くの組織では、電話で新しいパスワードを提供しますが、彼らは人の声を知り、質問に答えなければなりません（誰があなたの上司で、いつ最後のレビューでしたか）。
これは、多要素認証プロセスにいくぶん似ています。
電話またはテキストを使用してパスワードを送信することを主張するときに使用するロジックは、それが2番目のチャネルであることです。
上記の詳細な電子メールのすべての不安があっても、パスワードのみを含む電子メールが送信された場合、悪意のある使用に十分な情報がありません。ただし、「サービスyyyのアカウントxxxのパスワードがzzzに変更されました」と同様の意味を持つ電子メールを傍受した場合、アカウントにアクセスするために必要なすべてのものが揃っています。
通話の主な問題は、通話が ソーシャルエンジニアリング攻撃 の影響を受けやすいことです。この場合、発信者は 信頼できる個人に連絡してアクセスを許可する
電話で、「アカウントへのログインに関するヘルプを取得する」ための自動メニューを選択しました。カスタマーサービス担当者のChristineはとても親切で、私と協力して私のアカウントにアクセスするために、メールと自宅のアドレスを尋ねました。
私たちは問題を見つけたと思います…クリスティンは私を私のアカウントに入れるためにこれら二つの情報だけを必要としましたか？パスワードなし？携帯電話なし？他の情報はありませんか？誰かがデータベースから私のメールと自宅の住所を見つけて、私のアカウントを引き継ぐことを妨げているのは何ですか？
だから誰もあなたのメールを盗聴することはできません（暗号化されていない可能性があります）が、私に必要なのは彼らの電話番号とあなたについての少しの情報だけであり、私はこれを行うことができます
こんにちは、クリス・シレフィスです。 VPNログインを再度失いました。私はそれを書き留めたと思いますが、新しいものを私にくれませんか？うわー、それは素晴らしいだろう、ペンと紙を手に入れさせて...
現時点では、電子メールを傍受する方がはるかに簡単です。これは将来変更される可能性がありますが、現時点では：
- 電子メールは、任意の長期間保存されるように設計されています。複数のサーバーではなくても、少なくとも1つのサーバーがすべてのデータを節約することを期待できます。
- メールの処理が簡単になります。パスワードを含むメールの識別は比較的簡単です。電話でそれらを識別することは困難です。攻撃者が傍受している場合、パスワードを取得するのは簡単です。ただし、聞くにはより多くのリソースが必要です。
- ある時点で、AIはこれをはるかに簡単にするでしょう。しかし、現時点ではそうではないようです。
それは本当にあなたの脅威モデルに依存します。このパスワードはどのくらい価値がありますか？私は億万長者の銀行の信用情報がこれよりも保護されているか、機密情報であると想定しますが、情報が小さいほど、情報を取得するために投資するリソースが重要になります。
電子メールでのPassword = -value-の送信が好ましくない理由については、いくつかの良い答えがあります。
だが
音声で簡単に伝えられるほど単純なパスワードであれば、おそらく効果的であるほど複雑ではなく、受信側はおそらく紙に書きます。