「イオン銀行が「秘密の質問」を導入」記事へのコメント

多少はマシ

[M-FalconSky (8868)]

「秘密の質問」、という機能の名前だけで考えちゃうと、「無いほうがマシ」と考えてますが

1.「その他」を選び、質問文を作れる、まあ特定個別の情報の解答にはしなくてもよいのが明確な選択肢としてある、ということ
2.上記にもあるけど、普段と違うときの認証(リスクベース認証)
3.普通にログインしてから、修正できる(その際は決済用の取引パスワードが必要)

ので、既存の「秘密の質問」のトラブルはまあ回避は可能かなと
正直、ここまでするなら、専用ランダムコードを事前発行する系(たとえばGoogleとかで二要素認証使う時のリセット用みたいな)でいいんじゃないかという気もしないでもないけどねー。

# ログインパスワード、決済時の数表(テレフォンバンキングでも使うんだっけ?)、オンライン決済は決済パスワード、とあってさらにコレってのは凄い大変だろうな、とも思うけど...

--
M-FalconSky (暑いか寒い)

Re:

[Anonymous Coward]

いつも思うが秘密の質問じゃなくて第二パスワードじゃだめなのか？

Re:

[Anonymous Coward]

それだと暗記がますます難しくなるし、紙なり暗号化されたファイルなりに記録しておくとなると、それらがクラックされたときに2つのパスワードが同時に流出しまうことになる。2つのパスワードを確実に分離しておくには、一方を確実に暗記できるものにしておいて記録しなくてもいいようにするのが最も手軽な手段。

もちろん、秘密の質問の解答を素直なものにしておくと、友人・知人には分かってしまうという危険性はあるが、第一のパスワードの強度には全く影響しないから、より安全な方向になることはあっても、より危険なものになることはない。

2つのパスワードを用意できるのなら連結して1つのパスワードにしてしまって、それに秘密の質問を付加する方がずっと強固。

Re:多少はマシ

[Anonymous Coward]

安全度を下げたくないならパスワードだけのほうがよいのでは。

Re:多少はマシ

[nim (10479)]

＞安全度を下げたくないならパスワードだけのほうがよいのでは。

今回の事例は、「パスワードを忘れても秘密の質問でログインできる」ではなくて、
「パスワードは当然合ってないといけないけど、それでも怪しい（普段は東京から Chrome でアクセスしてるのに、
突然中国から謎の UA でログインしようとした）場合に、秘密の質問*にも*回答できないと先に進めない」という方式ですよ。

それがなぜ、「安全度を下げたくないならパスワードだけのほうがよい」になるのか説明していただけますか？