二要素認証
このタグの記事 4 件
GitHubの2段階認証（2FA）を設定する：認証アプリ・パスキー・リカバリーコードと、スマホをなくしたときの復旧
GitHubの2段階認証（2FA）の設定と、ロックアウトを防ぐ準備をまとめた手引き。GitHubは2023年3月から、コードを投稿するユーザーに段階的に2FAを必須化しており、対象に選ばれると45日の登録期間と7日の猶予の後、2FAを有効にするまでGitHub.comにアクセスできなくなる。GitHub Docsは、認証アプリ（TOTP）を主な方法にし、パスキーかセキュリティキーを予備に足す構成を推奨している（パスキー・セキュリティキー・GitHub Mobileは、TOTPかSMSを設定した後でないと追加できない）。当サイトの結論：2FAで本当に困るのは乗っ取りより自分が締め出されることで、GitHubサポートは2FAの資格情報と復旧手段をすべて失ったアカウントを戻せない。設定と同時に、リカバリーコード16個をパスワードマネージャーに保存し、2つ目の方法を登録しておく。あわせて、期限付きのfine-grainedトークン、承認済みアプリとSSH鍵の棚卸し、プッシュ保護とDependabotアラートを見直す。
7pay 不正利用事件（2019）：公式発表で分かる原因と認証の対策
7payは2019年7月に不正アクセス被害を受け、9月末に終了した。8月1日の公式発表では、7月31日17時時点で808人・38,615,473円の被害を認定し、リスト型アカウントハッキングの可能性が高いと説明。一方、再設定等が直接原因になった事例はその時点で見つかっていない。原因の認定と一般的な防御策を分け、パスワードの使い回しを避け、追加認証・安全な復旧・重要操作の通知を組み合わせる。
ワンタイムパスワード（OTP）とは：TOTP/HOTP/SMSの違いと限界
ワンタイムパスワード（OTP）は、一度使うと無効になる短命の使い捨てコード。認証アプリのTOTP（時刻ベース）、HOTP（カウンタベース）、SMS-OTP（SMS送信）がある。固定パスワードの漏洩・使い回しに強く、二要素認証の“持っている物”としてよく使われる。ただし限界があり、中間者型フィッシング（AiTM）ではOTPも偽サイト経由で中継され突破されうる。フィッシングに強いのはドメインに紐づくパスキー。OTPは『無いよりずっと良いが、最終的な対策ではない』。
二要素認証（2FA）とは：2段階認証との違いと方式の強弱
二要素認証（2FA）は、『知っている物（パスワード）』に『持っている物・本人そのもの（コード・鍵・生体）』という別カテゴリの証明を足して本人確認を強くする仕組み。よく混同される2段階認証（2回確認）とは厳密には別概念で、パスワード＋秘密の質問のように同じ種類の確認を2回するだけなら二要素にはならない。強さは方式で決まり、SMS/メール < 認証アプリ（TOTP） < パスキー/物理キー（FIDO2）。当サイトの立場は、まず何であれ2FAを入れること、その上でフィッシングで盗まれない方式へ切り替えること。