二要素認証が不十分な場合

公開: 2021-01-26

Webデザイナーは、常にセキュリティに関するアドバイスに悩まされています。ベストプラクティス、セキュリティホール、およびそれらに必要なパッチについて通知されます。頭を回転させるのに十分です。

もちろん、これはすべて重要で意味のあることです。オンラインセキュリティは絶えず変化するターゲットであり、最大のプレーヤーでさえ影響を受けやすくなっています。したがって、最新の開発についていくのは私たち次第です。

二要素認証（2FA）は、オンラインアカウントを安全に保つための最も宣伝されているテクノロジの1つです。銀行からソーシャルメディアまで、あらゆる場所で実装されていることがわかります。また、自分のWebサイトにも簡単にインストールできます。

2FAは、アカウントへの不正アクセスを阻止するのに効果的ですが、潜在的に大きな欠点もいくつかあります。最近、私はこれを直接体験しました。以下は、何が起こったのか、そしてそれが作成するのに役立った混乱の様子です。

プロバイダー間でのさまざまな実装–1つの共通スレッド

他のほぼすべてのテクノロジと同様に、2要素認証はさまざまな方法で実装できます。ユーザーは、SMSメッセージ、電子メール、またはGoogle認証システムなどのアプリからの確認コードを介して認証する場合があります。また、ログインするたびに表示される信頼できる写真を選択して、フィッシングサイトにアクセスしていないことを確認することもできます。

時々サービスプロバイダーはあなたに選択を与えるでしょう。しかし、多くの場合、彼らが提供する方法に固執します。 2FAを介して保護するアカウントが多いほど、これはすべて複雑になります。

たとえば、多くの場所で携帯電話にSMSメッセージが使用されています。ただし、その場合も、その認証アプリが必要になる場合があります。さらに他の人は別の見方をするでしょう。課題は、誰がどのテクノロジーを使用しているかを追跡し、適切なツールを手元に用意することです。

しかし、ほとんどの方法には単一の共通点があるようです。つまり、モバイルデバイスに依存して機能します。それは確かに便利です。それでも、そのデバイスに何かが起こった場合はどうなりますか？

iPhone

故障した電話はカオスにつながる

これは、Android携帯のモバイルデータ接続がうまくいかなかったときに私が見つけた状況です。テキストメッセージが数時間遅れているか、まったく配信されていませんでした。同じ家に住んでいて同じネットワークにいる家族は、メッセージをうまく受信しました。そのため、これはある種のハードウェア障害であると私は信じました。

この窮地にあるように、私はいくつかの治療法を試しました。これには、私の電話を工場でリセットするという恐ろしい「核のオプション」が含まれていました。試してみる価値はありますよね？

ここでの問題は2つありました。まず、テキストメッセージの問題が修正されませんでした。さらに悪いことに、それは私のすべてのさまざまなアカウントから私をログアウトさせました。グーグル、フェイスブック、ツイッターなどはすべて無謀だった。たぶんそれは私のメンタルヘルスには良いのですが、仕事や遊びにはあまり良くないでしょう。

これらの各アカウントに再度ログインするのはそれほど簡単ではありませんでした。なんで？もちろん、2FAのためです。

グーグルは私に与えられた唯一の2つのオプションが私の電話に結び付けられていたので、特にタフでした。それは私にテキストを送りたかったのですが、それはうまくいきませんでした。また、Google認証システムのコードも許可しました。これは素晴らしいことでしたが、コードにアクセスするには、Googleアカウントにログインする必要がありました。

解決策は、最終的にデスクトップコンピュータを起動し、Googleの2FAを一時的にオフにすることでした（彼らは本当にこれを気に入らなかった）。ほっとしました。Gmailを取り戻しました。

さらに楽しくするために、他のいくつかのアカウントで同様のプロセスを繰り返さなければなりませんでした。皮肉なことに、SMS検証に依存しているため、デスクトップからオンラインバンキングにアクセスできません。ただし、そのような要件がないため、電話でアクセスできます。これを考えるだけで冷や汗をかきます。

もちろん、私の状況は独特ではありません。モバイルデバイスにアクセスできない人は、簡単に同じボートに乗ることができます。

画面にひびが入った携帯電話。

学んだ教訓

2FAに関連するフラストレーションは、教えることができる瞬間として役立ちます。生活のためのウェブサイトを構築している私たちの人々は、セキュリティを強化するために背中を軽くたたきます–そして当然のことながらそうです。しかし、このテクノロジーをそれ自体で実装することは、私たちの使命の終わりではありません。

代わりに、真剣に考える必要があります。 Webサイトに2要素認証を追加する前に、次の点に注意してください。

2FAは必ずしも要件である必要はありません

ユーザーに2要素認証の利用を強制するのは魅力的です。そして、特定のリスクの高い状況では、これは理にかなっています。

ただし、ほとんどのサイトでは、代わりに厳格なパスワード要件を検討することをお勧めします。たとえば、秘密を何も含まないメンバーシップサイトを運営している場合、2FAはオプションである可能性があります。ただし、6か月ごとにパスワードを変更するようにユーザーに依頼する場合もあります。

ユーザーの煩わしさが少し減り、サポート作業が減ることを願っています。そして、アクセシビリティを忘れないでください。仮定にもかかわらず、すべての人が複数のデバイスにアクセスできるわけではありません。

代替案を提供する

メンテナンスの観点からは難しいかもしれませんが、2FAの複数の方法を提供することは有益である可能性があります。ユーザーは自分に最適なフレーバーを選択できます。または、ピンチで、モバイルデバイスが使用できなくなった場合に、使用しているものを変更することもできます。

それを除けば、少なくとも、問題が発生した場合に人々があなたに連絡するための簡単な方法を提供します。アカウントにアクセスできず、助けてくれる人がいないと、非常にイライラします。

いくつかの課題を期待する

すべてを正しく実行しても、ログインに問題があるユーザーに遭遇する可能性があります。たとえば、一部の2FA実装は、1回限りのバックアップコードを提供します。選択した認証方法が機能しない場合に最適です。

ただし、すべての人がこれらのコードを保存または印刷するのに時間がかかるわけではありません（確かにそうしませんでした）。したがって、発生する避けられない問題に備えることが重要です。

パスコード画面が電話に表示されます。

二要素認証は役に立ちますが、完璧にはほど遠いです

とにかく、2FAが好きになる理由はたくさんあります。実装はかなり簡単で、ユーザーデータへの不正アクセスを防ぐのに役立ちます。そして、利用可能なさまざまな方法がいくつかあります。

ただし、欠点がないわけではありません。私が知ったように、不安定な電話は多くの問題を引き起こす可能性があります。最も重要なアカウントにログインできないと、人生が行き詰まります。銀行口座や携帯電話プロバイダーにさえアクセスできないと想像してみてください。

したがって、必ず、Webサイトとアプリに2要素認証を追加してください。ただし、事前に計画を立てて、ユーザーがプロセスを簡単に行えるようにしてください。より安全な環境を期待できます。奇跡を期待しないでください。