Scribble at 2022-04-13 11:20:10 Last modified: 2022-04-13 11:35:50

いま使っているスマートフォンを気軽に機種変更できない一つの理由として、既に数多くの TFA を導入していて、スマートフォンの認証アプリケーションに登録した各種のアカウントを新しい機種へ移行するのは面倒臭いという事情がある。アカウントの管理画面で TFA を一時的に解除できるサービス（たとえばゲームや多くのオンライン・サービスでは TFA を使うか使わないかは任意に設定できる）については、もちろん機種変更する際に TFA を解除しておけばいいわけだが、銀行の口座など決済関連のサービスは、オンラインのサービスを利用するためには TFA が必須となる場合が多く、しかも機種変更するときに TFA の認証ステータスをどうやって新しいデバイスへ登録しなおせばいいのかという手順を全く説明しない金融機関もある（僕が使ってる大阪信用金庫などがそうだ）。これでは、何かトラブルが起きたときに決済や振り込みができなくなり、何かの期日に遅れると即座にブラック・リスト入りとなるため、最短でも５年間は月賦で鼻紙すら買えなくなってしまう。そんなリスクがある限り、事前に〈引っ越し準備〉を念入りに計画しておかなければいけない。

こういう機会が増えてくると、おそらく最も困るのが「TFAウザい」という印象ばかりが多くの人々に蓄積してゆき、選択できる限り TFA を避けようとする人が増えることだろう。そして、それをどうにか解決するために SSO のような、僕に言わせれば悪手あるいは逆効果としか思えないイカサマが流行し始めてしまう。僕は SSO はセキュリティ対策のフリをした security theatre だと思っていて、OpenID について色々と書いていた頃から、ID provider というサービスは競合の認証情報すら管理できるくらいのスタンダードな規格と普及率がない限りは安定した認証基盤として持続不能であり、そのためには私企業が運営するのは困難であるか、もしくは現在そうなっているように GAFA クラスの巨大 IT 企業による実質的な寡占状態という federation（というより綱引きや牽制だが）しか事業としての持続可能性がない。これが、decentralization という空虚なお題目を切り捨てた SSO のリアルな「実装」というものだ。これにより、新しいデバイスで Google のアカウントへログインしなおすだけで Google Autnticator に登録された認証情報も一緒に移行するという高度な利便性は確保できるが、もう Google のアカウントを手放すことはできなくなる。SSO については単なる SPOF であるという形式的な批判も昔からあるが、サービスの redundancy によって耐障害や攻撃耐性を高めるだけでは SSO のリスクは解消しない。つまるところ、通信経路やシステムではなく、情報を一元的に集約していることにこそリスクがあるからだ。