Twitterの二要素認証はアカウントの乗っ取りを止めることはできません

Twitterは最終的に、すべてのユーザーに対して2要素認証を展開することにより、アカウントハイジャックの厄介な問題に対処しています。 必要な最初のステップですが、これはすべてのハイジャッカーを阻止するのに十分ではありません。

二要素認証の使用を選択したユーザーは、Twitter.com、Jim O'Learyにログインしようとするたびに、通常のユーザー名とパスワードとともに、SMSを介して携帯電話に送信される一意の6桁のコードを入力するよう求められます。 Twitterの製品セキュリティチームのメンバーは、会社のブログに書いています。 HootSuiteなどのサードパーティツールは別の認証方法に依存しているため、この変更による影響を受けません。

「これは、Twitterによる安全性の向上に向けた大きな遅れのステップですが、戦いの半分に過ぎません」と、CORE Securityのセキュリティインテリジェンスの開発マネージャーであるKen PickeringはSecurityWatchに語りました。 ツーファクターは、人々が実際にそれを有効にして正しく設定しなければスクワットを意味しません。

SecurityWatch では、ユーザーがTwitterアカウントの2要素認証を有効にすることをお勧めします。 通常のパスワードとユーザー名の組み合わせの上にセキュリティの層を追加することは、常に最も便利なステップではない場合でも、常に良いことです。 設定ページにオプションが表示されない場合は、しっかりと座ってください。

ただし、敵がアカウントを制御する方法はまだたくさんあるため、2要素は常識に取って代わるべきではありません。

企業に役立たない理由

2要素認証は優れたセキュリティ機能であり、個人はアカウントの保護を有効にすることを真剣に検討する必要がありますが、すべての認証の問題をすべて解決できるわけではありません。

実際、2要素は、AP、The Onion、およびThe Guardianが今月初めにシリア電子軍によってハイジャックされたくない組織にも役に立たないでしょう。 ほとんどの組織はアカウントを共有し、複数のスタッフが同じアカウントを使用して投稿します。 ソフォスのシニアテクノロジーコンサルタントであるGraham CluleyがNaked Securityブログで述べているように、スタッフは同じ電話にアクセスできないため、二要素を有効にすることはできません。

彼らのオプションは、常にログイン状態を維持することです（これはセキュリティの禁止です）。または、各スタッフが電話の所有者に連絡して、ログインしたいときにいつでも6桁のコードを送信するようにします。 、 あなたは？

ユーザーが簡単にフィッシングされる場合、2要素認証は実際には役に立ちません。 誰かがtrapに陥り、その6桁のコードを偽のページに入力してしまうと、アカウントが表示されます。 「オンライン犯罪者は、「中間者」技術を使用して、パスワードとユーザー名とともに6桁のパスコードを入手することができます。

すべてのアカウントを保護することはできません

複数のアカウントを持っている場合、Twitterは1つのアカウントに対して1つの電話を制限しているため、最も重要なアカウントを選択して保護する必要があります。 IntegoのLysa MyersはThe Mac Security Blogに次のように書いています。

Trusteerのマーケティング担当副社長であるYishay Yovel氏は、Twitterがユーザーによるマルウェアの配布を本当に阻止したい場合、「Twitterユーザーがツイートを公開するたびに、より頻繁に二要素認証を行う必要があります」と SecurityWatch に語りました。 。 マルウェアは、ユーザーがログインした後、悪意のあるメッセージを待って投稿できると彼は言いました。

制限がある場合でも、セキュリティ層を入手したら有効にしてください。 ただし、フィッシングを認識し、強力なパスワードを選択し、基本的には警戒し続ける方法について、自分自身と周りの全員に教育してください。

IntegoのMyersが言ったように、Twitterの2要素認証は何もないよりも優れています。 しかし、それはまだ多くのユーザーや組織にとってはまだありません。