Googleの2段階認証を突破する方法が発見される

あるAnonymous Coward 曰く、　Googleアカウントへの不正アクセスを防ぐ方法として「2段階認証」がある。2段階認証ではログイン時にユーザー名およびパスワードに加え、携帯電話に送信されたパスコードが要求されるというものだ。しかし、これをを回避する方法がDuo Securityによって発見された（本家/.）。

　幸いDuo Securityは良心的なチームだったため、この問題はGoogleのセキュリティチームへ報告され修正された。しかし一度は仕様だと断り、修正に半年もかかったという。このプロセスは改善してほしいところである。

　発見された手法は、「アプリケーション固有のパスワード（ASP）」を利用するもの。GmailやGoogleカレンダーなどにアクセスする一部アプリケーションでは2段階認証が利用できないため、Googleはそれらのアプリケーション向けに専用のパスワードであるASPを生成する方法を用意している。しかし、このASPを使った認証プロセスには、本来は認証に必要であるはずのASPを利用しなくとも、ユーザー名とパスワードのみで認証に成功できるという不具合があったそうだ。さらに、ASPを使ってアクセスした場合でも、Googleの提供する全サービスに制限無しにアクセスできるという点も問題だったという。

　Duo Securityのブログでは、Androidの標準Webブラウザに用意されている「自動ログイン」機能とGoogleのWebサイトから行える「パスワードのリセット」を併用することで、2段階認証無しにGoogleアカウントの全権限を奪取する手法が紹介されている。

　なお、この問題は先週に修正されたとのこと。ただし、最初の報告から修正までは7か月もかかったという。

　スラッシュドットのコメントを読む | ITセクション | Google | セキュリティ

　関連ストーリー：
新たなアカウント窃取対策を研究するGoogle 2013年01月22日
パスワードなしで他人のFacebookアカウントにアクセスできる問題が発覚 2012年11月04日
池田信夫氏のGmailアカウントが乗っ取られる 2012年10月04日