Multi Factor Authentication – IoT OT Security News

MFA は信じて疑うべき存在：業界による宣伝に踊らされないために

Why MFA Is Not the Panacea the Industry Is Touting it to Be

2023/10/06 InfoSecurity — 多要素認証 (Multi Factor Authentication：MFA) とは、ユーザーが本人であることを証明するために、ユーザーと認証システムのみが知るべき２つ以上の「秘密」の共有を要求する、デジタル認証ソリューションのことである。MFA は、単純なログイン名とパスワードよりも改善されたものである。しかし、非常に危うくなっており、何十億とは言わないまでも、何億ものオンライン攻撃を成功させてしまっている。残念なことに、ほとんどの MFA はパスワードと比べて、あなたを遥かに安全にすることはできず、また、この業界は、あなたが使用すべき MFA について十分に話していない。それであっても、貴重なデータやシステムを守るためには、可能な限り MFA を使うべきである。

Google の二要素認証：年内に1億5000万人を自動的に移行させる

Google to turn on 2-factor authentication by default for 150 million users

2021/10/06 TheHackerNews — Google は、アカウントへの不正アクセスを防ぎ、セキュリティを向上させるための継続的な取り組みの一環として、約1億5,000万人のユーザーを二要素認証スキームに、年内を目標に自動的に登録する計画を発表した。また、200万人の YouTube クリエイターに対しても、二段階認証 (2SV) の設定を義務付けることで、チャンネル乗っ取りから守るとしている。

加速する二要素認証：セキュリティ侵害とリモートワーク対応が要因

Security Fears & Remote Work Drive Continued 2FA Adoption

2021/09/14 DarkReading — Cisco System の Duo Labs が隔年で実施している調査によると、２年前には二要素認証 (2FA : Two Factor Authentication) に触れたことのなかった、米国と英国の人口の4分の1に相当する人々が、2021年には少なくとも１回は、同技術を使用していることが分かった。

CISA スバラシイ：一要素認証をバッド・プラクティスと認定する

CISA: Don’t use single-factor auth on Internet-exposed systems

2021/08/30 BleepingComputer — 今日のこと、米国の Cybersecurity and Infrastructure Security Agency (CISA) は、一要素認証 (SFA : Single Factor Authentication) を、同機関が推奨するサイバー・セキュリティのバッド・プラクティスに追加した。CISA のバッド・プラクティス・カタログには、連邦政府機関が非常に危険と判断したプラクティスが含まれており、政府機関や民間企業のシステムが脅威にさらされる、不必要なリスクを負うことになるため、使用すべきではないとしている。

多要素認証バイパスを引き起こすテクノロジー Top-5

Top 5 Techniques Attackers Use to Bypass MFA

2021/08/06 DarkReading — 企業では、サーバー攻撃を防ぐために、多要素認証 (MFA: Multi Factor Authentication) が利用されている。しかし、MFA により 100％が保護されるという考えは、まさに誤りだ。MFA とパスワードを比較すると、個人情報漏えいのリスクを 99％削減されると強調した統計があるが、それを回避する方法を攻撃者は知っている。では、どこに目を向ければ良いのだろうか。幸いなことに、すべてが悲観的な状況ではない。MFA がバイパスされたとしても、侵害になる前に攻撃を察知して阻止することは可能だ。

AMaaS ＞IDaaS：クラウドとオンプレの ID を統合

Pushing the Limits of IDaaS with AMaaS

2021/07/29 SecurityBoulevard — データへの安全なアクセスは、誰にとっても大きな懸念となる。そこで、クラウド ID 管理ソリューションとして、IDaaS (identity-as-a-service) が随所で採用され、アプリケーションにアクセスするユーザーが、本人であることの確認が、つまり、ID の認証が行われている。しかし、IDaaS は、問題の半分しか解決できない。個人情報保護法では、個人を特定できる情報 (PII) などの機密データに、適切な人だけが適切なタイミングでアクセスするよう求められている。

ケミカル流通大手の Brenntag がランサムウェア攻撃に $4.4 million を支払った

Chemical distributor pays $4.4 million to DarkSide ransomware

2012/05/13 BeepingComputer — 化学製品の流通を行う Brenntag は、暗号化されたファイルの復号化ツールを受け取ために、また、盗まれたデータの公表を防ぐために、ランサムウェア・ギャングである DarkSide 対して、身代金 $4.4 million を Bitcoinで支払った。ドイツに本社を置く Brenntag は、世界有数の化学製品流通企業であり、世界の 670以上の拠点で 17,000人以上の従業員を抱えている。