徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ代表 IPA非常勤職員 脆弱性診断、WAFの販売・導入、セキュリティコンサルティングをやっています。
https://t.co/F0kveu1nJM

パスワードとあわせて、携帯電話にワンタイムパスが送られ認証を行う多要素認証を使っています。
これを使っていて疑問に思ったのですが、パスワードは極論12345だとしても、携帯電話さえ肌身離さず守っていれば、不正ログインはされないのではと思いました。
実際にはどんなリスクがあるのでしょうか。(ワンタイムパスがハイジャックされたりするのでしょうか?)

2020/06/29 09:54

この場合、携帯電話に送られてくる「ワンタイムパス」は通常4~6桁の数字ですが、それだとパスワードの代わりにするには複雑性が足りません。パスワードと同等の複雑性をもたせればユーザーが記憶するパスワードは不要になりますが、そのような認証方式は既にあります。

ギフトサポートする

徳丸 浩

コメント

継続サポートするとコメントを閲覧、投稿することができます。

その他の投稿
Youtubeをよく拝見さてもらっております。
気になったのは、徳丸さんが動画投稿を行ってる目的が気になりました。
情報セキュリティの正しい情報拡散とお仕事のマーケティングがメインとなるのでしょうか?
言語を開発出来るレベルの知識を持って、仕事に挑みたいのですが……参考になる書物などありますでしょうか。

ウィンドウズ インサイド等は力になりますか?
静的コンテンツのみのコーポレートサイトであっても、ウェブアプリケーションとプラットフォームの脆弱性診断を実施する必要性はあるのでしょうか。
徳丸本にはオープンリダイレクタについて、「もともと外部のドメインに遷移する仕様であること」「利用者にとっても外部のドメインに遷移することが自明であること」を両方満たす場合は脆弱性とはならないと書かれていますが、メールなどで他サイトへ誘導するためのリンクとして使うなど、フィッシングへの悪用はできてしまうと思うのですが、それはよいのでしょうか?
WAF は静的コンテンツ配信のみを行っている Web サーバーには不要な物だと思っていましたが、それについて「ディレクトリトラバーサル等は静的コンテンツサーバーでも受ける可能性がある (ので WAF が有効)」との指摘を受けました。この指摘は妥当なのでしょうか?