Microsoft Authenticator、パスワードなしで通知連発 海外で困惑の声
姉妹サイトの新着
他サイトの新着
- 5chまとめMAP職場で咲-Saki-の話題になったんだが好きなキャラで”末原恭子”を挙げたら逆張り扱いされたんだが
- ニュース速報まとめMAPついに20歳。悠仁さまのご挨拶で明らかになった、皇室の未来と「隠された対立」の影
- なんJ傑作まとめアンテナMAP【悲報】上沼恵美子さん、脳梗塞のサンド伊達さんめぐりTV業界に苦言「売れた人ばっかり使い倒すでしょう」・・・・・・・・・
- アニメ声優まとめアンテナMAP【悲報】『ちいかわ』の横領、くら寿司だけではない可能性が浮上してしまう…
- VTuberまとめアンテナMAP【にじさんじ】かざちゃん、家系ラーメンのスープをほぼ残さず完食
- だめぽアンテナ【GIF動画】ハーフのTBS新人アナさん、デカい
- ヌルポあんてな高市首相の言行不一致か 靖国参拝見送りと「遥拝」は外交配慮？？？
- 2chまとめアプリ+後輩「あっ！あのクラウン覆面ですよ」ワイ「！？」
- News人【コトブキヤ出荷情報】「ホロライブ 百鬼あやめ～巫女衣装Ver.～」「無限邂逅メガロマリア エミュレータ#2」ほか【発売日決定】他
- ブルーアンテナ「昔の人は毎日お風呂に入らなかった」という文章を書いてみたら「年中一度も入らなかった」と極端に解釈する人がいて困惑した。
- ウマーあんてなお見合いに行ったら、相手の左手の薬指に指輪がついてた。私「え？既婚者！？」相手「彼女がいるんだけど、金目当てが嫌でお見合いに来たんです」→結果…
- 5chnavi【朗報】仙台駅に「みいちゃんと山田さん」の巨大ポスター登場！なおアニメ化の文字はない模様
- 海外の反応アンテナ.com韓国人「韓国人が正確に分析した日本がサムスン製品を使わない理由がこちら・・・」
- 海外反応・海外ニュースまとめ【海外の反応】マイクラを16年かけて作り続けた男→建物800棟・11都市が連なる「一国」に
- キター！アンテナ【SS】さやか「沙知先輩とお姉ちゃんが結婚！？」
- Ask Reddit まとめ海外「突っ込んでくる電車を眺める牛みたいな顔で見とれてた」パン売り場で見た人生で一番きれいな人…
- つべこアンテナ【おんJ競馬】ルメール迷言集
- ２ちゃんマップDLSS5を楽しめるRTX5090さん、最安90万円に
- カオスアンテナ原付に2ケツの60代夫婦がパトカーから逃走→妻は途中下車、夫を酒気帯び運転と定員外乗車で逮捕
- おまとめ【悲報】岐阜のケーキ屋放火殺人事件、とんでもないことになる…
ブログ author André Klein氏が、Microsoft Authenticatorがパスワードの確認すら経ずにサインインリクエストの通知を送りつけてくると指摘した記事が、Lemmyのc/technologyで話題になっていた。スレッドではTOTPコードを2回連続で要求される、認証アプリを新しい端末にインストールするのにその認証アプリ自体のコードが必要になるという「鶏と卵」状態など、実体験の報告が相次いだ。一方で、MFAをパスワード検証の前に行うこと自体はセキュリティ設計として妥当だとする反論もあり、「不具合なのか意図的な仕様なのか」で意見が割れた。
Microsoft Authenticatorは、パスワードすら必要とせずにサインインリクエストを連発してくる — André Klein Dot Net
出典: andreklein.net / 元記事はこちら
🥹
ただ、記事に書かれてるような他の不具合は経験してないけど。
TOTPは時刻ベースだから、念のため端末の時刻を確認してみたら?何度もコードを入力させられるのはさぞ面倒だろうね!
うちにもいくつか、通知は来るのにWi-Fiを切ってモバイル回線に切り替えないと承認できないネットワークがある
最近仕事用のスマホにMS Authenticatorをインストールする必要があったんだけど、そのためにはMS Authenticatorのコードが必要だった。それを回避しようとMSにログインしてアクセス設定を変えようとしたら、今度はログインにMS Authenticatorのコードが必要だと言われた。
そこは注意が必要。もしMFAのプロンプトをパスワードの後に出すと、たとえログインできなくても『パスワードは正しい』という確認を与えてしまうことになる。それを攻撃者に教えたくはないはず。だからMFAはパスワードの検証より前に行われる。
パスワード入力後は毎回タイマーをセットしておけばいい話では(MFAが成功したときだけ早期終了)。『認証に失敗しました。いずれかの要素が誤っているか、検証に失敗した可能性があります』とだけ表示すればいい。
マシンはNTPで同期してるし、時刻のズレは見当たらない。
それにしても、めちゃくちゃ特殊な不具合だから、向こう側の問題じゃないなんて信じられない。
もしかしてMicrosoftは『TOTPはパスキーより安全性が低い』と判断していて、パスキーを使わないなら『倍の回数TOTPを入力させてあげる』😃という『親切』をしてくれてるのかもね?
本当にな。
他サイトの新着
中にはその選択肢を無効化して、Microsoft Authenticatorを強制してくるところもあるよ。
それと記事にあったリダイレクトループとおかしなログインフォームの件。マジでなんでいまだに直ってないんだ 😭
この話題の背景と論点
Microsoft Authenticatorは時刻ベースのワンタイムパスワード(TOTP)や、パスワード入力なしでも通知を送ってくる「プッシュ承認」方式を提供しているが、この設計自体はセキュリティ上の理屈がある。スレでも指摘された通り、多要素認証をパスワード検証の「後」に行うと、ログインに失敗しても「パスワードだけは合っていた」という情報を攻撃者に与えてしまう。そのためMFAをパスワード確認より前に走らせるのは意図的な設計であり、単純な不具合ではない。一方で、TOTPコードを2回連続で要求される、認証アプリのインストールに認証アプリ自体のコードが必要という「鶏と卵」状態は、記事や複数の参加者が報告している具体的な不満で、Microsoft側の実装の粗さを示す個別の不具合とみられる。スレでは「仕様として仕方ない部分」と「単なる作り込み不足」が混同されがちで、読者はこの二つを分けて読む必要がある。
※本記事は5ch(Lemmy c/technology)スレッド「Microsoft Authenticator Spams Sign-In Requests Without Even Needing Your Password – André Klein Dot Net」より抜粋・要約して構成しています。
まだコメントはありません。