あなたがパスワードを入力した際に、テキストメッセージまたはスクリーン上のダイアログまたは認証アプリなどを使って別のコードまたはプロンプトが届き、それによってパスワードを入力したのが本当にあなたであってあなたのパスワードを知っている第三者でないことが確認されるというものだ。サインインする際にこの手続きを経験している。いくつかの種類があるが、これについては下で議論する。これを必須としているサイトはいくつかあって、場合によっては、どこかに何か私たち全員に関する悪辣なデータベースがあって、別々でプライベートなものだと私たちが思っているあらゆる種類の情報を関連付けているのだという前提の下に運用されているサイトさえある。呼ばれているところだ。どんな人でも手早く数回検索するだけであなたについてのことがすべて分かるとしたらどうなるか、想像してみてもらいたい。あなたの秘密の質問を攻撃者のハッキングから食い止める一つの方法は、無意味な答をでっち上げることだ。サイトごとに別々の答にしておかなければならない。それらの答をあなたのパスワードマネージャのメモ領域に書き留めておく。ようなランダムな日付にしよう。良いセキュリティは誰かもっと重要な人たちのためのもので、あなた自身は取るに足りない人間なので盗人に狙われるはずがない、と考えてしまいがちだ。年、私たちは皆、自分たちが思っているよりもずっと人の目につく、重要な存在になっている。名を持っていたからというだけのことであった。あとで分かったのだが、それはダークウェブの闇市場では非常に価値あるものなのだ。あなたの携帯電話番号こそ弱い個所たとえあなたが今述べてきた項目すべてをちゃんとしていたとしても、それだけではまだ安全でないかもしれない。カードから携帯電話番号を移植することに成功した。その電話番号を持つ電話機をいったん手にすることができさえすれば、彼のアカウントに入ってパスワードのリセットを要求するだけで、簡単に彼のアカウントにアクセスできるようになった。リセットのための確認コードはその電話機にテキストメッセージで送られたからだ。そんなことが起こったのかと皆さんは思案しておられることだろう。その盗人は巧みなソーシャル・エンジニアリングを使って犠牲者のセルラープロバイダの従業員を騙し、電話番号を移植するよう説得したのだった。そんなことはまず起こり得ないだろうとお思いの方のために言い添えると、ぜひこういう視点で考えてみて頂きたい。世界中のどこにいる誰であっても、あなたのキャリアのカスタマー・サービスに電話をかけることができる。ここではたくさんのことが危険に晒されている。提供して、電話番号を移植する際にそれが必要となるようにしている。有効にし、それを私のパスワードマネージャに覚えさせておいた。皆さんにも、同じことをするよう強くお勧めしたいと思う。各社の情報リンクをどうぞ。キャリアによる転送ロックだけに依存してはいけない。それがどの程度うまく実装されているのか私は何も知らないし、裏の裏まで知り尽くした盗人の巧みな言葉によって防護策が回避されてしまうことも十分あり得る。認証アプリの問題点セキュリティの専門家たちはたいてい、二要素認証のためにテキストメッセージを使わずに認証アプリを使うことを勧める。いった認証アプリが一般的だ。秒ごとに変更されるコードを提供する。パスワードマネージャの中にはそれ自身が認証アプリとして動作できるものもある。コードを受け取るための非常にセキュアな方法であることは私たちも同意する。独立動作の認証アプリに関して私たちが気付いた問題点は、これらのアプリがあまりうまくデザインされていないという点だ。私たちのクライアントたちは認証アプリで新規にアカウントをセットアップしようとして苦労したし、いったんセットアップが済んだ後でさえ、使い方に苦労した人もいた。読者の皆さんや私たち自身にとってみれば十分に使えるだろう。読んでいない人たちのことだ。セットアップができない。皆さんや私のような人たちにとっても、独立動作の認証アプリにはいくつかの難点がある:もしも助手、同僚、あるいはコンサルタントがそのアカウントにアクセスする必要が生じた場合、本人とその人の両者ともが同時に、同じシードを使って認証アプリの設定をしなければならない。時として、アプリの中に表示されるアカウント名が隠されて見えず、そのユーザーが同じサイトで複数のアカウントを持っている場合には混乱してしまう。認証アプリのデスクトップコンピュータへの対応には限界があったり、使いにくかったり、そもそも存在しなかったりすることもある。コードが失われるリスクがある程度存在している。これを目撃したことがある。)ログインの際に、具体的に何をすべきかがユーザーに示されない。ユーザー自身が、正しい認証アプリを開いて、数多くリストされたコードの中から正しいコードを選ぶ必要がある。テキストメッセージを受信することを強制される。上記の懸念の多くにエレガントに対処するための工夫をしている。自動入力の最中にセキュリティコードをクリップボードに収めたり、それをしたと説明する通知を出したりする。対応をパスワードマネージャの中に組み込むことにはそれ自体問題がない訳でもない:パスワードとワンタイムコードの両方ともを同じアプリの中に持っているということは、万一マスターパスワードを失ったりデータ破損が起こったりしてパスワードマネージャにアクセスできなくなった場合に、アカウントから完全にロックアウトされるリスクがあることを意味する。有効になっているにもかかわらず、盗人がいとも簡単にあなたのすべてのアカウントにアクセスできてしまう。プランを使って、二次的共有ヴォールトを持つことで複雑さが増すのを我慢しなければならない。テキストメッセージの受信を強制される。そこで、私たちはもっと別の解決法を探すことにした。通話とテキストメッセージの双方を使える電話番号を提供してくれる、無料のサービスだ。使って、またはウェブブラウザを使ってアクセスし、いずれの場合も通知が提供される。アカウントにログインアクセスを済ませた状態でなければ他に移植できない。誰もソーシャル・エンジニアリングの犠牲になったりしない。どんなブラウザでもスマートフォンでもテキストメッセージに簡単にアクセスできるので、助手、同僚、あるいはコンサルタントが簡単にコードを受け取れる。他のどんなテキストメッセージとも同じようにスマートフォン上で通知を受け取れるので、ユーザーインターフェイスは従来と変わらない。新規のアカウントをセットアップする手順は私たちのクライアントにとっても簡単だ。コードをあれこれいじる必要がなく、代替用の電話番号を入力するだけで済む。アカウントを作成する。電話番号をホストするためだけの目的で作るものなので、電子メールアドレス、ファーストネーム、ラストネーム、生年月日の各フィールドに入力する情報は本物の身元証明情報とは違うものを入れておく。アプリを入れて、サインインする。電話番号をホストする以外の目的には一切使われないので、盗人がそこに辿り着く可能性はない。その上、たとえ辿り着いたとしても、それが誰のものか知られることはあり得ない。やり方を試してみるのならば、必ずその前にアカウントからあなたの本物の携帯電話番号を削除しておくべきだ。セットアップの際に、登録済みの電話番号がデフォルトで追加されるからだ。テキストメッセージからコードを入手できてしまう。デフォルトでテキストメッセージをあなたの電子メールアドレスに自動転送する設定も必ず無効にしておくべきだ。アカウントはセキュアだ。アドレスに付随した身元を特定できない電子メールエイリアスを使う。アカウントは、直接チェックされるようにするか、またはそのクライアントの実際の電子メールに転送されるかするようにしておく。アカウントの復旧用アドレスを発見したとしても、盗人がそれに関係した何かにログインできるようになる心配がない。私たちはアカウントの作成日と偽の生年月日を記録している。その情報を尋ねられるかもしれないからだ。電話番号を使うことで、私たちのクライアントたちは皆、ただ単に代替用の電話番号を入力するというだけの手間が要るだけで簡単に二要素認証をセットアップできる。コードが必要になった際には、テキストメッセージ通知として通知が出る。助手、同僚、あるいはコンサルタントも問題なくそのコードにアクセスできる。カードに移すことができない。やり方の最も重大な欠点は、半年程度に一度ずつテキストメッセージを送信するかまたは電話をかけるかしないと自動的にその電話番号が失効してしまうことだ。このことを警告してくれるが、クライアントたちのために働いている私たちとしてはやはり先を見越して行動を起こすのが最善の対策だ。アドレスに届いたメールをすべて普段使っているアカウントに転送しておくのも良いだろう。届いた警告を見落とす心配がなくなる。それからまた、カレンダーに年2回のリマインダーを設定しておくと良いだろう。主たる手段としてテキストメッセージを認めないところもあるかもしれない。実際私はそのようなところを何度か見たことがある。番号を受け入れさせるには、アカウントに最初に追加する電話番号をそれにしておかなければならない。使わずに済ませるか、よく考えて戦略的判断を下す必要がある。対応していないものさえある。君のことを言っているんだよ。一つ別の難点の可能性を指摘してくれた。電話番号には迷惑通話がかかって来ることが多いという点だ。アプリの中ですべての通話と留守番電話を無視するように勧める必要があるだろう。画面で、電話の着信をすべて無効にしておくことも、スパムとしてフィルター分けすることもできる。識別を誤って重要なコードが届かないリスクも生じる。このサービスを廃止するということもあるかもしれない。ユーザーが別のやり方を見つけられるように十分な警告を提供してくれることだろうが。あなたはどう思いますか?私はプロのセキュリティ専門家ではないけれども、私の有名人や資産家のクライアントたちにとって、あるいは普通よりもセキュリティ意識の高い人たちにとって、安全さと使いやすさのちょうど良いバランスをこのシステムが実現していると私には思える。コメントで指摘して頂きたい。