「Google認証システム」のコード同期、エンドツーエンド暗号化には未対応と判明

今回は「「Google認証システム」のコード同期、エンドツーエンド暗号化には未対応と判明」についてご紹介します。

関連ワード （セキュリティ等） についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　「Google Authenticator（Google認証システム）」アプリが今週アップデートされ、2段階認証（2FA）用のコードをGoogleアカウント（クラウド）に保存できるようになったが、ソフトウェア企業Myskによると、エンドツーエンドの暗号化が適用されていないという。

　Myskは4月26日、「アプリがシークレット（認証用コード）を同期する時のネットワークトラフィックを解析したところ、トラフィックはエンドツーエンド暗号化がなされていないことが判明した。スクリーンショットで分かるように、これはGoogleがシークレットを、おそらくそれが同社サーバーに保存されている間も、見ることができることを意味する。シークレットを保護するためのパスフレーズを追加するオプションはない」とツイートした。

　シークレットとは、保護された情報や機密情報のロック解除に使われる認証情報を指す用語だ。

　Myskのセキュリティ研究者らは、デバイス間で2FAコードを同期する機能を有効化しないよう推奨している。

　待ち望まれていたコード同期機能により、スマートフォンの紛失や盗難の際にもコードにアクセスできるようになる。これは元の端末が手元になくても、Googleアカウントを介してコードにアクセスし、2FA対応の「Gmail」や銀行アプリ、その他多数のサービスを利用できることを意味する。

　Googleの広報担当者は米CNETへの電子メールで、「エンドツーエンド暗号化（E2EE）は、追加の保護を提供する強力な機能だが、ユーザーが自分のデータからロックアウトされて復元できなくなる可能性がある」「ユーザーにフルセットのオプションを確実に提供するために、一部の当社製品を対象にオプションのE2EEの提供を開始しており、将来的にはGoogle認証システムにもE2EEを提供する計画だ」と説明した。