Scribble at 2021-01-06 13:46:53 Last modified: 2021-01-06 13:47:48

今年も Keepass Password Safe のデータベース・ファイルを月の初めにバックアップしている。利用するクラウド・ストレージ・サービスは減ってしまったが、複数のサービスにアップロードする方針は変えていない。いまのところ、Google Drive、Dropbox、MS OneDrive、そして Box だ。iCloud は TFA のメールが届かない（代わりにスマートフォンへ SMS を送信しないといけない）ので、今回からバックアップ先から外すことにした。

TFA は、基本的に面倒臭い。情報セキュリティの実務家が言うのだから、これは真実というものだ。そして、面倒臭いことは形骸化したり軽視されるのが世の常である。そういう状況を維持・放置して重要なファイルをバックアップする方が危険であり、形だけの TFA に安心していてはいけない。いまどき、Google や Microsoft はきちんと authenticator の専用アプリケーションをスマートフォン向けに公開しており、Apple もこれくらいのことはやってもらいたいものだ。

特に Microsoft の authenticator は認証コードを入力する代わりにアプリケーションでタップ一つすれば認証できる。もちろん、アプリケーションに表示される数字を見て他の画面へ入力することに比べたら（気軽に使えるということは即ち）脆弱な仕組みであることに疑いはないけれど、そのリスクは僕の考えでは利便性の向上と比べて圧倒的に低いと思う。authenticator で誰かが代わりにタップの処理を盗んだとして、それは〈何へアクセスするための〉認証を盗んだことになるのか。authenticator の画面の上に覆いかぶさるようなレイヤーを作らせないようにすれば、恐らくタップという動作に錯誤を挟み込むような攻撃はおおむね防げるだろう。