二要素認証（TOTP）のトークンをどこに保存するか問題 - @kyanny's blog

2 要素認証に 1Password を使うのはよく考えてから | はったりエンジニアの備忘録 AWSの多要素認証に1passwordが使えたけど使っちゃダメだと思った話 - Qiita TOTP のトークンを 1Password に保存するのはセキュリティ強度を弱めるので良くない、という話は知ってたので避けてたのだけど、ちょっとよくわからなくなってきた。 Windows（具体的には社有のSurface Pro）上の1passwordとiPhone上の1passwordの両方でMFAの二段階目をクリアできたということは、もうこの2段階目は特定のデバイスを持っていることに依存しないということだ。僕のIDで他のデバイスに1passwordをインストールすることができれば、さらにそのデバイスでも2段階目をクリアできる。「AWSのパスワード」と「特定のスマホ（デバイス）」ではなく、「AWSのパスワー

[gfx]

色々飲み込んで1passwordに保存してる。「サービス側の過失でパスワードが流出した」みたいな状況には対応できるからまあいいやろ…ってことで。 / WebAuthn対応サービスならそれを使えという話も。

[ya--mada]

MFAの言葉の定義で妄想するより、MFAにも濃淡有ってその上で必要な認証の強度を適用別に整理した方が良いです。NIST SP800-63Bはまさにその為に有ります。 https://jpn.nec.com/cybersecurity/blog/210521/

[Ho-oTo]

やっぱ便利だから1Pにトークンを保存する誘惑に勝てなかった。GoogleとかDropboxとかはAuthyに残す、Emergency KitはpCloudのE2E暗号化フォルダに入れるなどして一箇所抜かれただけでアウトにはならないようにしてる筈だが自信ない

[new3]

個別サービス側への不正アクセスがあったときにTOTPのおかげで防げる視点と、ユーザ側(orパスワードマネージャ)への不正アクセスで流出するアクセス情報がどこに保存されているかの視点はゴッチャにしてはいけない

[bikeshed]

Authyのバックアップ復元は要SMS認証 (https://authy.com/blog/how-the-authy-two-factor-backups-work/)、マルチデバイスは別デバイスから許可が必要 (https://authy.com/blog/understanding-authys-multi-device-feature/) だけど1Passwordと同等という認識なの？

[sasasin_net]

yubikey にする機運 https://zenn.dev/eviry/articles/0f448ab2edc87d

[yomik]

リカバリーコードを保管するのはまずいと言われれば確かに。

[civicpg]

パスワード管理ソフトがTOTP管理する機能持っちゃダメだと思う

[tattyu]

1Passwordにアクセスするのに顔認証とか不要なんだっけ？。

[typex2]

Appleのkeychain一択かな。ハードウェアで保護されていること、iCloudで同期されてバックアップ＆複数端末でスペアが作れるのがいいね。1Passwordみたいな3rdは信頼性の問題で使いたくない。。

[honma200]

サービスがそう提供してるだけで利用者がリスクを受け入れた上で使う分には別にと思う。1Passwordクラウドサービスの場合デバイス登録してるし

[hibiki0358]

パスキーが拡がったら、この手の心配はなくなるんでは？と思ってる。知らんけど。

[info55]

"パスワード@1Password（PC、スマホ）+ ワンタイムパスワード@Authy（スマホ）の組み合わせ" 俺もこれ。確かになんとなく避けてて吟味はしてなかった。業務用はIdp基点のSSOに統一でいいとして、プライベートのものが悩む…

[kazkun]

まあ、色々と多要素に関しては気になるところがあるんだけど、犯罪者に標的にされるような身分ではないとして妥協してる。指を失うとかスマホ壊れるよりは稀だろと。

[alt-native]

二要素の意味

[maeda_a]

全サイトのパスワードを暗記してる人なんている？パスワード=「知識」じゃないでしょ。1PasswordのVaultが生体認証で保護されてるなら「人」だし、スマホとPC等に同期されてても「所有」には変わりない。

[takuya_1st]

totpトークンを保存したデバイスをtpm保護する事でデバイス認証になるわけですが。1passwordは確かにそう。かと言ってms/apple idに依存するのも考えもの。パスワード管理ソフトで充分なのよ。

[umai_bow]

セキュリティ強度が上がらないならTOTP設定する必要なくない？

[inabajunmr]

1Password を使っていればその時点で MFA が達成されているという認識なんだけど、Emergency Kit の取り扱いが気になった https://inabajunmr.hatenablog.com/entry/2022/11/26/003148

[sgo2]

家のセキュリティに如何に金をかけようが、鍵をポストに入れていたら台無しなのと類似。