Conversation

Notices

1. らりお・ザ・何らかの🈗然㊌ソムリエ (lo48576@mastodon.cardina1.red)'s status on Tuesday, 23-Aug-2022 00:52:39 JST らりお・ザ・何らかの🈗然㊌ソムリエ

   TOTP 発行機器との比較でいうと、ハードウェアトークンを第2要素として使う場合は OTP とかの入力が不要になるので attack surface が小さくなる、とかかな

   • B̅ repeated this.
   • らりお・ザ・何らかの🈗然㊌ソムリエ (lo48576@mastodon.cardina1.red)'s status on Tuesday, 23-Aug-2022 00:52:41 JST らりお・ザ・何らかの🈗然㊌ソムリエ

     in reply to

     あとはハードウェアトークンは電池不要かつ耐タンパー性のあるデバイスであることが一般的なので、 rooted device になると信頼性を失うスマートフォン上のアプリよりは可用性が高く攻撃もしづらいというのもある

   • らりお・ザ・何らかの🈗然㊌ソムリエ (lo48576@mastodon.cardina1.red)'s status on Tuesday, 23-Aug-2022 00:55:22 JST らりお・ザ・何らかの🈗然㊌ソムリエ

     in reply to

     まあ脱獄するなそれはそう、なんだけど、そういうことがデバイスとして可能であるというのとそもそも不可能であるというのにはやはり差がある

   • らりお・ザ・何らかの🈗然㊌ソムリエ (lo48576@mastodon.cardina1.red)'s status on Tuesday, 23-Aug-2022 00:55:22 JST らりお・ザ・何らかの🈗然㊌ソムリエ

     in reply to

     だから「セキュリティレベルは確かに向上するが、それがｽﾏﾋｮに比べてどの程度であるかは (ｽﾏﾋｮの) 環境や用法次第ではあるし、標準的な人にとってはどちらも十分ではある」くらい？

     B̅ repeated this.
   • らりお・ザ・何らかの🈗然㊌ソムリエ (lo48576@mastodon.cardina1.red)'s status on Tuesday, 23-Aug-2022 00:55:22 JST らりお・ザ・何らかの🈗然㊌ソムリエ

     in reply to

     おまけの話をすると、 OTP 生成のためのクレデンシャルを (本来の理想的な用法に反して) バックアップ/エクスポート可能なアプリなんかも普通に存在したりするので、その点でもｽﾏﾋｮでの OTP は使い方を誤るとイマイチ (かつ誤った使い方をするインセンティブが強い) という落とし穴もある