高木浩光＠自宅の日記 - ワンタイムパスワードは何のためにあるのか

■ ワンタイムパスワードは何のためにあるのか 先月、ジャパンネット銀行から「SecurID」が送られてきた。RSAセキュリティのワンタイムパスワード生成器（以下「トークン」）だ。ジャパンネット銀行は全口座の利用者に対してこれを配布している。 届いた郵便物には図1の案内状が入っていた。 ここに書かれていることは事実でないので、信じてはいけない。 2. トークンはスパイウェアに監視されないので安全です。 トークンはパソコン、携帯電話などと一切の通信を行いません。万が一パソコンや携帯電話がスパイウェア（不正プログラム）に感染しても、トークンに表示されたワンタイムパスワードが監視されることがなく安心です。 これを読んだユーザは、「今後はダウンロードした .exe ファイルを安心して実行できる」と思ってしまうかもしれないが、トロイの木馬（不正プログラム）を実行してしまっては、たとえこのワンタイムパス

[kmachu]

「ワンタイムパスワードの効用とは、パスワードの安全レベルの管理が、ユーザではなく、アクセス管理者にコントロールされているところが肝」

[onionskin]

ワンタイムパスワードは高度なスパイウェアには無効という話

[delta81]

　「ワンタイムパスワードがフィッシング対策や、スパイウェア対策になるという誤解」、「導入するというのは正しい。ただ、その理由が間違って宣伝されている。」

[cubed-l]

ユーザレベルで攻撃食らってると何やってもダメ

[send]

ふむ。

[suVene]

「安全」を売りたいのはわかるが、内実伴わない宣伝は自分の首をしめるって話。

[ranic]

[

[rna]

嘘は嘘だけど「完全じゃない→意味がない」というふうに短絡する消費者を想定した方便なのかも。確率的な利益を説明するのは難しい。JNBの場合強制だから嘘つくくらいなら黙って渡してもよかったのだろうけど。