ワンタイムパスワードを一般的な TOTP 標準に準拠したものに対応してほしい

現在スクウェア・エニックスの OTP は独自仕様？ ですが、TOTP 標準 (RFC 6238, Google Authenticator 互換) にも対応してほしいです。
サービスごとに OTP アプリを使い分けるのは面倒ですし、Android のクライアントが動作が不安定で設定が頻繁に吹っ飛んでイライラします。また、Windows 10 Mobile 用の公式 OTP アプリはリリースされていません。
既存のハードウェアトークンとの兼ね合いもあるため完全移行は難しいでしょうが、追加の選択肢の一つとして検討していただけないでしょうか。

スクエニのトークンは、世界的にも大手のバスコ社のシステムを採用しています。
世界中の大手金融機関や官公庁等でも採用されている、非常にしっかりしたものです。
決して独自のものではありませんよ。

しっかりしているしていないの話ではありません。
# というか、現に今の Android の OTP クライアントはクッソ不安定なんですが……。

特定企業の実装に依存しない TOTP 標準に対応さえすればユーザは自由に OTP のクライアントを選択できますし
一つのクライアントで複数のサービスを利用できるようになるので利便性も高まるという話です。

Quote:

---

Originally Posted by Karins

質問です。
TOTPってセキュリティ的に危険度高めていう認識だったと思いますが、いまは変わったんですか？
セキュリティ的に危険度が低いのはHOTPだったような気がしますが。。

---

ソースがないのでどの点をなぜ危険とするかがわからないのでなんとも言えないのですが、
Google や Microsoft もそのまんまな TOTP を使ってるのでアルゴリズム上の問題はないと思いますが……。
そもそも TOTP って HOTP の Counter に TimeStep で割った UnixTime を入れるだけだけですよ。

TOTP ではなく VASCO 含む時刻同期方式のワンタイムパスワードに共通する問題ですが、
一度認証を通したワンタイムパスワードを再び受け入れてしまうなど、実装に問題がある場合は
またちょっと話が変わってきますが、本質的な話ではないです。

おっしゃりたいことは下記の2点ということでしょう。
・Android版のソフトウェアトークンが不安定だから何とかしてほしい。
・専用アプリは管理が面倒なので、パスワード管理アプリに対応してほしい。

スクウェアエニックスアカウントのワンタイムパスが独自仕様か否かは上記の内容には関係ないと私は思います。

が、スレ主さんが書いている以上は主張の根拠であり、その一つが誤りである、という指摘に対して
　「そういう話じゃない」
と返すのは、第3者から見れば
　「指摘に対して回答しないで論点ずらしをしている」
と評価されても仕方ないと思いますよ。

「スクエニのOPTは独自仕様ではないようですが、それは主張とあまり関係ありませんでした」
で済む話。


スクウエアエニックスアカウントで採用しているVASCO社製はTOPT方式という点では同じですが暗号化のアルゴリズムは非公開。万が一鍵が漏れても容易にはパスワードは生成できません。

Google Authenticator互換のは、アルゴリズムは公開されて第3者でも管理アプリが出来て、いろんなサービスで採用されて、そのアカウント管理が集約できるので便利。ただし、鍵が漏れれば終わり。


ユーザーが自由にOPTのクライアントを選べれば便利かもしれませんが、スクエニとしてどこまでサポートするか、という問題も出てきます。
どのOPTクライアントを選ぶかは自己責任、という考えもあるでしょうけど、万が一悪質OPTクライアントを掴まされて「スクウエアエニックスアカウントのワンタイムパスが突破された」と騒がれれば、技術提供しているVASCO側も風評被害を被るリスクがあります。


セキュリティにおいては、方式を増やすと、セキュリティの弱い方に全体のセキュリティレベルが引っ張られるので、単純に便利だから増やせばいい、というわけにはいかないと思います。

Quote:

---

Originally Posted by LuckyBancho

「スクエニのOPTは独自仕様ではないようですが、それは主張とあまり関係ありませんでした」

---

あーー、なるほど。私は「独自仕様」という言葉を「オープンな S/KEY や TOTP でないクローズドな仕様」という意味で使ったのですが、「スクウェア・エニックスが開発した」と取るほうが自然な、確かに誤解を招く言い回しでしたね。すみません。

Quote:

---

Originally Posted by LuckyBancho

VASCO社製はTOPT方式という点では同じですが暗号化のアルゴリズムは非公開。万が一鍵が漏れても容易にはパスワードは生成できません。

---

ただ、こちらは違うかなと。LuckyBancho さんはお詳しい (Lodestone 国勢調査、楽しく見させていただいています) ようなのでもちろんご存知だと思いますが、「隠蔽によるセキュリティ (Security through obscurity)」、つまりアルゴリズムを隠すことが安全性の向上に寄与するという主張は、現代の情報セキュリティの通説では一般的には否定されていますよね。
そもそも、アルゴリズムの解析などせずとも、耐タンパ性のないソフトウェアトークンがあるのだから、もし鍵が抜けたのならばそちらに鍵を食わせてしまえばいいだけの話です。

Quote:

---

Originally Posted by LuckyBancho

どのOPTクライアントを選ぶかは自己責任、という考えもあるでしょうけど、万が一悪質OPTクライアントを掴まされてスクウエアエニックスアカウントのワンタイムパスが突破された」と騒がれれば

---

こちらは全く考えていませんでしたし、面白い視点だと思います。
とはいえ、Google や Microsoft の他にも Amazon、Dropbox、Evernote、Facebook、GitHub、Yahoo、オンラインゲームでは RO、PSO2 あたりでも採用実績がありますし、各社に習って推奨クライアントを示す (または旧来のソフトウェアトークンを推奨) だけで問題ないのではないかなあと思います。

技術的な事は全くわかりませんが、ハードウェアトークンを使ってる身からすれば、今のままで充分なので、 リスクを増やさないでらしいですね。

てか、スレ主さんもハードウェアトークンを使えば良いのでは？

Quote:

---

Originally Posted by Aryn_Ra

アルゴリズムを隠すことが安全性の向上に寄与するという主張は、現代の情報セキュリティの通説では一般的には否定されていますよね。

---

そこまで明確に否定されていましたっけ？
賛否はあれど、結局は時と場合と使い方によるよって話だと思ってました。

これはどの製品にも言えることだけど。
鍵（シークレット、シード）を丸っと抜いたとして、IDとパスワードもなきゃどうにもならんのですけれど、そこまで出来るなら、IDもパスも抜かれてる可能性も高いか・・・

ふむふむ・・・わからん

ちょっと話が取っ散らかってきたので再度整理を。
- Android の OTP クライアント不安定だし使いにくい！ (iPhone も iOS9.2 でトラブルあったよね)
- どうせなら Google も MS も使ってる、安全で使いやすい TOTP にも対応して！
- てか PSO2 が同じこと (元々の OTP システムに不満 → TOTP にも対応) やれたんだから、あっちにできてこっちにできない道理はないっしょ

これだけですね……。

他の方も仰ってますが、アプリでのワンタイムパスワードではなく、キーホルダータイプのトークン使えばAndroidのクライアントが不安定などの心配も無くなります。

そこまでソフトウェアトークン使う理由は分かりかねますが、すぐに解決できない技術的問題を述べるよりもずっと簡単だと思います。

グーグルやＭＳが採用しているから「安全」とは限らないし、むしろソフトウェアなんて、脆弱性を年がら年中パッチ充てて塞ぎ続けているわけで。
（昔から「WindowsとそのＩＥは最も当たり前に利用されているぶん、悪意を持った相手に最も狙われやすい」とも言われてますね）

また、オープンソース系のものは、初めから自由な研究・改造が前提ですから、私的には初めから安全性に疑問符が付きまといます。
アレにもコレにも使えるという利便性は高いのでしょうが、天秤にかけたらどうなんでしょうかね。
（ハードウェア・トークンと比較すれば、旧来のＯＴＰもＴＯTＰも同じようなもんじゃん、という話ですが）

この件に関してなら、
「業務連絡は業務用専用回線でのメール限定です」vs「いや、不便だから一般回線でメール使わせて。できたらLINEがいいな」
というレベルでの話なんじゃないかな、という気がします。

アプリを自社サービス向けに開発してるという部分については、開発しきれないんなら共通のを使えば利用者も楽でしょという指摘は、合理的だと思いますよ。
(もちろんアプリ自体が単なるOEMかもしれませんので、その場合はこの批判は当たらないです)

ただ、逆にいうとわざわざ自社開発してるのだから、一応意味というか目的はあったはずで、他でもできたんだからやればできるでしょというのは単なる推測でしかなく、押し付けが強いかなと思います。

また、一旦リリースしているアカウント管理を切り替えるのにはそこそこコストもかかります。ここは私も推測ですが、他社さんでもアプリ開発やりきれなくなって、なにかを諦めて共通のも使えるようにしたのとは違いますかね。


あと程度問題なんですが、androidアプリが不安定な件は、ご自身の端末やandroid不具合、あるいは他のアプリとの干渉だったりしませんか？
私個人的にはソフトウェアで問題が起きたことがないし、周りでも聞かないので不安定という実感がないです。

だからハードウェアトークン使えばという、一般論でない、個別対処的なレスがついてしまうのではないかと。

純粋にアプリが不安定で使いづらいからなんとかしてほしいというフィードバックをたくさん集めた方が、お望みの方向に進むかもしれません。
もちろんハードウェアトークン必須という斜め上に進むかもしれませんが...

Quote:

---

Originally Posted by Heatmind

そこまでソフトウェアトークン使う理由は分かりかねますが、すぐに解決できない技術的問題を述べるよりもずっと簡単だと思います。

---

別に「吉田今すぐ何とかしろ明後日までにやっとけよ」じゃなくて、要望なので……。
あとハードウェアトークンは個人的にはナシかなあ。
物理的なものを追加で管理したくないですし、紛失・破損時にも手間ですし、
外出先・帰省時などにプレイしようとした時に忘れちゃうリスクもありますし。
普段から携帯しているスマートフォンでソフトウェア的にできたほうが利便性が高いのは明らかでしょう。

Quote:

---

Originally Posted by Dayone

グーグルやＭＳが採用しているから「安全」とは限らないし、むしろソフトウェアなんて、脆弱性を年がら年中パッチ充てて塞ぎ続けているわけで。
（昔から「WindowsとそのＩＥは最も当たり前に利用されているぶん、悪意を持った相手に最も狙われやすい」とも言われてますね）

---

あんまりこういうこと言いたかないですけど、一丁噛みするなら最低限「(RFC などの) オープン標準」と「オープンソースソフトウェア」の区別ぐらいつけてほしいなあ……。
OSS に対する認識にも言いたいところはありますけど、それ以前にちょっと論点ずれすぎでお話にならないです。

Quote:

---

Originally Posted by kuma-pandemo

あと程度問題なんですが、androidアプリが不安定な件は、ご自身の端末やandroid不具合、あるいは他のアプリとの干渉だったりしませんか？
(snip)
純粋にアプリが不安定で使いづらいからなんとかしてほしいというフィードバックをたくさん集めた方が、お望みの方向に進むかもしれません。

---

端末ごとの安定度の差はあるでしょうね。Android、端末ごとの差異が多くて開発かなり地獄ですし。
一応、似たような不満は Google Play のレビューにかなり寄せられていますね。
https://play.google.com/store/apps/d...re_token&hl=ja

Quote:

---

Originally Posted by Aryn_Ra

別に「吉田今すぐ何とかしろ明後日までにやっとけよ」じゃなくて、要望なので……。

---

要望だということはわかっているので「こういうやり方はどうでしょうか？」と言ったまでですが。

Quote:

---

Originally Posted by Aryn_Ra

あとハードウェアトークンは個人的にはナシかなあ。
物理的なものを追加で管理したくないですし、紛失・破損時にも手間ですし、
外出先・帰省時などにプレイしようとした時に忘れちゃうリスクもありますし。
普段から携帯しているスマートフォンでソフトウェア的にできたほうが利便性が高いのは明らかでしょう。

---

最初のコメントを読んで、「アプリが動作不安定でイライラする」と書いていたのでならばアプリを介さないハードウェアトークンを勧めたまでです。いつもプレイするのにイライラしていては、と思い案を上げたのですが、お節介になってしまったようですね。失礼しました。

Quote:

---

Originally Posted by Aryn_Ra

あんまりこういうこと言いたかないですけど、一丁噛みするなら最低限「(RFC などの) オープン標準」と「オープンソースソフトウェア」の区別ぐらいつけてほしいなあ……。
OSS に対する認識にも言いたいところはありますけど、それ以前にちょっと論点ずれすぎでお話にならないです。

---

一般人と技術者との違いをわざわざ皮肉って言う事はないと思います。
むしろ丁寧に教える事が、技術に明るい人の本来の姿じゃないでしょうか。

ちなみに、RFCだからと言って安全とも限りませんので、当然導入するには諸々検討事項があるでしょうし、運用の検討も必要でしょう。
それに同じ会社が複数の方法を持つのは管理的にも手間だし、トラブルの元なので、複数持つメリットがあまり無ければ導入は難しいでしょうね。

TOTPがインターネット標準だったら対応しない手は無いですけど。

スクエニが採用しているトークンが最初に実装されたのは、今からおよそ7年前の2009年4月7日です。
もちろんFFXIVなどまだなく、FFXI向けに実装されました。

スレ主さんがなにをもって標準だと言い切られているのかはわかりませんが、
現在スクエニが採用しているこのシステムは、運用開始してから既に7年以上経過しているのです。
バスコ社のシステムそのものは、もっと古く運用実績もあるでしょう。

もちろん実装当時は、スマホだとかAndroidだとかは、まだメジャーではありませんでした。
それを今更、極一部の人の都合のためにシステムを変更するのは、無理じゃないでしょうか。

スクエニ三大MMORPGの、FFXI、FFXIV、DQX、を始め、
スクエニアカウントと関連しているシステム全てに影響が出る問題です。

自分も実装開始時から使い続けていますので、
今更システム変更されたら、困惑すると思います。

わたしもGoogle Authenticator互換も使えるようになってくれると嬉しいなぁ。
あと、スマホなくしたときとかが怖いのでもう位置端末くらい登録できるようにもしたい。

スレ主さんの提案に強く賛同します。

Google 認証システムを含むTime-based One-time Password Algorithm (RFC 6238)に準拠したワンタイムパスワードには既に十分な実績があり、また同規格に準拠した実装を行っているアプリケーションを自由に選択出来る点も大きなメリットです。

TOTPに準拠したワンタイムパスワードと、スクウェア・エニックス ソフトウェアトークンまたはセキュリティトークン等、複数のトークンはそれらを管理する手間を生じさせ、最終的にはユーザのセキュリティを低下させるものです。

ワンタイムパスワードだけでなく、これらの基本的な仕組みは往々にしてプロプライエタリな実装よりもオープンな規格に準拠した実装の方がリスクを低減出来、また、古いプロプライエタリなシステムを使い続ける事が技術的負債となりリスクを増大させる事は歴史上枚挙に暇がありません。

ただし、既存のスクウェア・エニックス アカウントのワンタイムパスワードにはシリアル番号やスクウェア・エニックスID、強制解除パスワード等の複数の要素が絡み合った物であり、これらのシステムからTOTPへの移行、または追加は容易な物ではないと思われます。SEGAがPSO2においてSecureOTPからTOTPへ移行した事は私的には英断だと思いますが、その決断もまた同様に容易な物ではないと考えます。

予算さえ許すのであれば、理論上は追加しない理由は無いと思います。あくまで「追加」であって「移行」でない理由は、無視できない割合でスマートフォンを持っておらず、かつハードウェアトークンを使用している既存のユーザが存在すると予想されるからです。

Quote:

---

Originally Posted by Matthaus

もちろん実装当時は、スマホだとかAndroidだとかは、まだメジャーではありませんでした。
それを今更、極一部の人の都合のためにシステムを変更するのは、無理じゃないでしょうか。

---

既に極一部の人の都合ではなくなっています。スマートフォンはほぼコモディティ化しており、TOTPを採用したサービスは実績のあるものが沢山あります。「実装当時から使っている人」よりも「スマートフォンを持っている人」の方が今や「メジャー」です。移行または追加が容易ではないというのはご指摘の通りだと思いますが、難しいか、あるいは無理かは運営以外には分かりません。

Quote:

---

Originally Posted by Matthaus

スクエニ三大MMORPGの、FFXI、FFXIV、DQX、を始め、
スクエニアカウントと関連しているシステム全てに影響が出る問題です。

自分も実装開始時から使い続けていますので、
今更システム変更されたら、困惑すると思います。

---

既存のシステムに対する影響は、そのユーザ規模も含め大きく、慎重さが要求されるというのは事実だと思います。ですが「だから古いシステムを使い続ける」という選択もまたユーザを危険に晒すものです。強行的にでも移行した方が安全な場合もあれば、そうでない場合もあり、一概にどちらとは言えない問題です。

この要望が通ると、現在使用しているハードウェアトークンは強制的に買い替えになるってことですよね？
電池切れに伴う買い替えとタイミングがぶつかったら目も当てられないなぁ
（ハードウェアトークンは1250円ほどお金がかかります。）

ソフトウェアトークンは機種変の手間があったり、電池切れが面倒なので使いたくないのです。

あと、ハードウェアトークンとソフトウェアトークンの使用割合ってどこかにソースあります？
当然、SQEXアカウント全体での割合が必要です。

「自由にアプリを選ぶことができる」っていうことに関しても、
SQEXアカウントにも使えるという謳い文句でリリースされたものに
危険な動作をするものが無いと言い切れるのでしょうか？
一見、規格準拠の動作をしていても、その裏で別のことをしている
ということは無いのでしょうか？
そのあたりが非常に心配です。

私のFF11のハードウェアトークンは一番初代のやつで複アカ持ちで実装当初から使ってますけど未だに電池切れてません。
環境にもよると思いますが、ゲームのサービス終了まで持ちこたえてくれるんじゃなかろうかという勢い。
充電不要だしスマホよりよっぽど長持ち。水没させない限りは雑に扱っても壊れません。

TOTPが使えようが使えまいが、我々のハードウェアトークンに影響が無ければどっちでもいいです。
ただ私は、ハードウェアトークンを使い続けるよ。

これいいね。
ぼくもハードウェアトークン使ってるけどGAuthで使えるようになったらそっちいくよ。
OTP使ってるものは極力Gauth+シークレットキーを独自管理してるので、FFXIV（というかスクエニアカウント）もそっちいってくれたら管理が楽になる。
詳しい仕様はともかくとして、管理しなきゃいけないものが一つ減るので、そうなってほしいな。
現状のものはそのままに、新しくGAuthでも対応しました、こっちで使いたいひとはシークレットキー発行するので勝手に設定してね、ってしてくれたらそれでいいよ。
※変更じゃなくて、選択肢の追加

標準を信頼し、プロプライエタリな実装を嫌悪する向きもあるでしょうが
どちらかというと利便性のほうが大きいかなと。
この手の認証が増えてくるとハードウェアトークンの管理が面倒になる。
だからスマホで、しかも質の良いアプリ、すなわちオープンな競争を勝ち抜いたアプリでやりたいというのは別段変な話ではないと思います。
僕も賛成です。

やや反対です。

賛成の点は、利便性の向上がみられる為。
　一つにまとめて管理出来れば楽だと思う。

反対の点は、リスク分散の為。
　逆に一つの規格でまとめた際、
　その規格に問題が生じた場合、
　芋づる式に全滅する可能性がある。

自分は性格的に、交通機関の電子マネーもスマホ入れず、
カードと別にして使うタイプの人間なのでこう考えます。

なので、ワンタイムパスワードの規格も選択出来ると、
良いんじゃないかな。

なんか難しい話で分からないけども、ハードウェアトークン使ってる自分としては
その新しいものに不具合でて巻き添えにならないなら良いかなくらい(・ω・)チンプンカンプン

セキュリティーが甘くなるっていう本末転倒な事態にならないのか、誰かわかりやすく解説を！

私も以前投稿はしましたが、キーホルダートークンを使っており、これで充分だと思います。

利便性や使い勝手を重視するのはわかりますが、それでも従来通りが良いと考えています。
提案されている機能が仮に実装されて、キーホルダートークンが使えなくなると言った事態になりにでもしたら、と思うと不安になります。

なにやら便利か不便か、出来るか出来ないかで話が進んでますが
セキュリティに一番大事な事は「安全性」であると思います

利便性を求めて安全性が下がるなら無用です

アカウントハックされた場合、どういう被害を被るか、どんな面倒な事になるかを知っていれば多少の不便は許容したほうが良いかと思います
自分はキーホルダータイプのハードウェアトークン使ってますが言われるほどの不便さは個人的には感じておりません

運営が安全だと判断し「選択肢の１つ」として追加するならば特に反対はありません
ただ今までのトークンが使えなくなるならば「不要」と意見させていただきます

賛成です。
Googleを始めとする他のワンタイムパスワードは1つのアプリで管理しているのに、ここだけ別のアプリで管理しているので対応してくれるととても嬉しいですね。
端末移行時の面倒事も一つ無くなりますし...

結局のところ4年経過した2020年現在で
Twitter、Amazon、Twitch、Nvidia、Epic、UBI、EA、そういった大手各社すべて「Google Authenticator」採用なんですよね

昨日だったかGoogle関連サーバー落ちしたので、そういう場合どうなるんですかね？

なんか古いスレッドが上がってきてた。

Quote:

---

Originally Posted by MisatoMisa

昨日だったかGoogle関連サーバー落ちしたので、そういう場合どうなるんですかね？

---

別に Google のサーバと通信してワンタイムパスワードを作ってるわけじゃないので、Google の鯖が落ちようが Google が潰れようが関係ないですよ。
そもそも Google Authenticator が RFC 6238 の TOTP 標準 に従って作られてるアプリのうちの一つってだけで、いろんなメーカーがアプリを作ってますしね。
私は Microsoft 製のやつ使ってます。

スレ主さんに賛成で、 TOTP 標準も導入してほしいと考えています
完全移行では初心者さんに「Google Authenticator入れろ」等案内は厳しいと思うので、さすがに既存の SQEX TOKEN は残す必要があるかと思いますが

セキュリティとしてどちらが安全って話だと、その辺はば利便性とのトレードオフで、僕個人としては共通化の利便性に比べれば安全性は微々たる差だと考えます
差についても導入時の説明の手間や不足だと思うので、ここはスクエニの判断次第って結論にしかならないかなと。なので、希望者は声を挙げて伝えていきましょう！って流れにならないかな

すっかり忘れてたけど、一番いい形でアップデートされましたね。
急ぎではないし必須でもないけど、あると嬉しいな～っていうこういう対応はありがたいです。:o
大事なのは一人でも多くのユーザが認証にOTPを導入することなので、選択肢が増えるのは良いことです。

公式ニュース見落としてた。コメントつけてもらってスレッドが上がってて気づきました。
TOTP 標準に追加対応という私の要望そのまんま飲んでもらえてますね。ありがたい……。

スレッドを立てた当時に比べると公式ソフトウェアトークンの安定性も上がって設定が飛んだりすることもなくなりましたし Windows 10 Mobile も消え去りましたが、
やっぱりアプリをまとめれるのは便利ですし、スマホの故障に備えて自己責任で設定のバックアップができたりするのでとても助かります。
対中規制の影響で一部のスマートフォンでは Google Play からアプリを落とせないみたいなことにもなってますし、そういうデバイスで問題なく生成できるようになったのもいいですね。