もし今、先生がゼロから新しく証券会社や銀行のオンラインサイトを設計するとしたら、認証周りはどのように設計しますか？パスキー一択ですか？ | mond

これは要件により変わるというのが回答になります。以下長くなりますが、お付き合い下さい。 オンラインバンキングの方は、不正取引との長い戦いの歴史があり、それでいて不正アクセスによる被害が減らないという現状があります。「こうすれば安全になる」という理屈は、長い歴史の中である程度知見が溜まっているはずですが、「利用者が使いこなせないのでその方式は普及していない」という手法もあります。その代表例として、トランザクション認証を挙げたいと思います。トランザクション認証については、私の過去のブログ記事をお読みください。 https://blog.tokumaru.org/2015/04/blog-post_28.html みずほ銀行のトランザクション認証を試してみた既に報道されているように、インターネットバンキングに対する不正送金事件が多発しています。 警察庁は2015年2月12日、2014年（平成26

[punychan]

「オンラインバンキングとオンライン証券では、取引時の「時間的な猶予」がかなり違う」なるほどなあ。冒頭の「要件により変わる」に何を〇〇〇〇とか思ってごめんなさい。

[GARAPON]

セキュリティをあげると顧客は離れるってのが真理なんだよね。そんなこともあってweb系金融機関は認証がザルい。

[degucho]

一周回って担当営業との電話注文最強になったりして

[uunfo]

難しいんだな。リアルタイムで取引したい人にはリスクを承知で認証を省略するとかにすれば今よりましだと思うけど。実際取引パスワード省略は普通にある

[umaemong]

銀行はパスワードよりはパスキーがいいな。もし鍵を失っても窓口で対応できれば詰まないし。銀行側が慎重になるのはわかるけど。証券のトレーダー向けの速度重視な方式はオプションにして欲しいな。

[wdnsdy]

トレーダーは専用のアプリでやってもらえばいいと思う

[tohima]

“オンラインバンキングとオンライン証券では、取引時の「時間的な猶予」がかなり違う””ばりばりのトレーダーなのか、NISAの取引をたまにやるだけというおそらく大半のユーザーなのかによっても”なるほど

[trace22]

一分一秒を争うガチトレーダーはセキュリティレベル下げてもらうか

[augsUK]

プロが高頻度高速自動取引で利ざやを抜く中で、素人の認証だけますます面倒に

[beejaga]

専用アプリにして先にガチガチでVPN繋いでから取引させるとかかねー

[akulog]

4桁数字オンリーのお年寄りたちの悲鳴が聞こえた

[kuniharumaki]

証券会社は取引額、取引量の多い人が売上のメインだろうから、セキュリティ厳しくして使い勝手落とすと離れられるリスクともトレードオフなのかもしれないな。正直NISAだけの顧客なんて売上も雀の涙だろうし。

[sato0427]

即時性が欲しいならGoogleやSteamアプリであるような認証時にダイアログが立ち上がってOKボタン押させるので良いと思う。取引パスワード入れるより早い。

[sin20xx]

まぁ、ぶっちゃけオンライントレードの利用者のリテラシーはかなり低いのが実情。具体例でいえば、先日の話題の方も複数のウイルス対策ソフトを導入していたと誇らしげに語っていたが、どう考えてもマイナス効果だよ

[otation]

やるとしたらセキュリティの堅い一般向け口座と緩い口座で分けるとかかなあ。急いで取引したい人は自己責任ってことで手を打てないもんか

[shidho]

確かに、トランザクション認証の口座番号は画面上の振込先確認画面を見ながら入力しているから、そこを攻撃者に動的に書き換えられたら間違えて入力するかも(ここの回答では匂わせてもそこまでは想定してない)。

[auto_chan]

Webでスキャルピングや上場戦などの鉄火場取引やめちくりiSPEEDとか導入してチョーダイ！って気持ちかな。いろいろな認証がぐっちゃぐちゃで不便になってるけど詐欺は大繁盛ってって現実はキビシーね！

[tohokuaiki]

トランザクション認証って、銀行から配布される電卓みたいなアレか。入力が口座番号なのは意味があったのね。ほとんどの人は口座番号って知らんからWEBインジェクションで詐欺口座に画面表示変えられたらアウトよね

[gfx]

"証券取引というのは、タイミングが重要という場合も多いので、「すぐに買いたい・売りたいのに時間がかかってタイミングを逸した」みたいな苦情が一定数来そうな気はします"

[napsucks]

クライアント認証はMFAだのでしっかりやるけどサーバ認証はろくすっぽやらない(やれない)という相互性の欠如が本質で、昨今のフィッシングの跋扈を招いてる

[lionsage]

値動きが激しい買いたい銘柄があるときにパスワード打ち間違いで買いたかった株価で買えなかったとかあるしな。

[sugimo2]

“オンラインバンキングとオンライン証券では、取引時の「時間的な猶予」がかなり違う”

[kerodon]

“客層がばりばりのトレーダーなのか、NISAの取引をたまにやるだけというおそらく大半のユーザーなのかによっても、求められるセキュリティ機能は変わってきます。”

[hogetax]

標準から外れると途端にリスキーになるからなぁ...

[kitassandro]

まあ、みんな、ドコモみたいな使い辛さになったら嫌だよね、、、。

[Phenomenon]

勉強になる

[itotto]

なるほど

[mmaka2787]

証券なら通常は(省略しなければ)取引の承認画面が表示されるはずなので、それを別のスマホアプリで承認するようにするだけで現状の問題はほぼ解決できる気がする。

[otchy210]

スピードが重要な局面で極力セキュリティを担保するのならば、生体認証一択になる気はする。

[gifuwasabig]

中国株取り扱い禁止にすべき

[misomico]

急がないから取引パスワードは動的にして欲しいな

[Rambutan]

入口の認証をパスキーみたいなイマドキのものにしたところで突破される時は突破されるし、それよりも毎回の取引時に不正をされないことの方が要件として重要なんだな