Microsoft Authenticator、パスワードなしで通知連発 海外で困惑の声
姉妹サイトの新着
ブログ author André Klein氏が、Microsoft Authenticatorがパスワードの確認すら経ずにサインインリクエストの通知を送りつけてくると指摘した記事が、Lemmyのc/technologyで話題になっていた。スレッドではTOTPコードを2回連続で要求される、認証アプリを新しい端末にインストールするのにその認証アプリ自体のコードが必要になるという「鶏と卵」状態など、実体験の報告が相次いだ。一方で、MFAをパスワード検証の前に行うこと自体はセキュリティ設計として妥当だとする反論もあり、「不具合なのか意図的な仕様なのか」で意見が割れた。
Microsoft Authenticatorは、パスワードすら必要とせずにサインインリクエストを連発してくる — André Klein Dot Net
出典: andreklein.net / 元記事はこちら
🥹
ただ、記事に書かれてるような他の不具合は経験してないけど。
TOTPは時刻ベースだから、念のため端末の時刻を確認してみたら?何度もコードを入力させられるのはさぞ面倒だろうね!
うちにもいくつか、通知は来るのにWi-Fiを切ってモバイル回線に切り替えないと承認できないネットワークがある
最近仕事用のスマホにMS Authenticatorをインストールする必要があったんだけど、そのためにはMS Authenticatorのコードが必要だった。それを回避しようとMSにログインしてアクセス設定を変えようとしたら、今度はログインにMS Authenticatorのコードが必要だと言われた。
そこは注意が必要。もしMFAのプロンプトをパスワードの後に出すと、たとえログインできなくても『パスワードは正しい』という確認を与えてしまうことになる。それを攻撃者に教えたくはないはず。だからMFAはパスワードの検証より前に行われる。
パスワード入力後は毎回タイマーをセットしておけばいい話では(MFAが成功したときだけ早期終了)。『認証に失敗しました。いずれかの要素が誤っているか、検証に失敗した可能性があります』とだけ表示すればいい。
マシンはNTPで同期してるし、時刻のズレは見当たらない。
それにしても、めちゃくちゃ特殊な不具合だから、向こう側の問題じゃないなんて信じられない。
もしかしてMicrosoftは『TOTPはパスキーより安全性が低い』と判断していて、パスキーを使わないなら『倍の回数TOTPを入力させてあげる』😃という『親切』をしてくれてるのかもね?
本当にな。
他サイトの新着
中にはその選択肢を無効化して、Microsoft Authenticatorを強制してくるところもあるよ。
それと記事にあったリダイレクトループとおかしなログインフォームの件。マジでなんでいまだに直ってないんだ 😭
この話題の背景と論点
Microsoft Authenticatorは時刻ベースのワンタイムパスワード(TOTP)や、パスワード入力なしでも通知を送ってくる「プッシュ承認」方式を提供しているが、この設計自体はセキュリティ上の理屈がある。スレでも指摘された通り、多要素認証をパスワード検証の「後」に行うと、ログインに失敗しても「パスワードだけは合っていた」という情報を攻撃者に与えてしまう。そのためMFAをパスワード確認より前に走らせるのは意図的な設計であり、単純な不具合ではない。一方で、TOTPコードを2回連続で要求される、認証アプリのインストールに認証アプリ自体のコードが必要という「鶏と卵」状態は、記事や複数の参加者が報告している具体的な不満で、Microsoft側の実装の粗さを示す個別の不具合とみられる。スレでは「仕様として仕方ない部分」と「単なる作り込み不足」が混同されがちで、読者はこの二つを分けて読む必要がある。
※本記事は5ch(Lemmy c/technology)スレッド「Microsoft Authenticator Spams Sign-In Requests Without Even Needing Your Password – André Klein Dot Net」より抜粋・要約して構成しています。
まだコメントはありません。