SMS 2FAは単に安全でないだけでなく、山岳地域の人々にとっても敵対的です

376日前原文(blog.stillgreenmoss.net)

概要

西ノースカロライナ山間部 で暮らす高齢女性が、 携帯通信と2FA問題 で困難を経験
Spectrum Mobile（Verizon回線） のカバーエリア表示と実際の通信状況が大きく乖離
SMSによる2FAコード がWi-Fi通話や自宅の固定電話で 受信できない
TOTPなど 代替手段の導入にも高いハードル
地域住民にとって 現状の2FA主流方式が大きな障壁 となっている現実を提起

山間部高齢者と2FA：現実の壁

友人女性は 西ノースカロライナ山間部生まれ育ち、70代ながら自作の家と大きな池を管理する 地域のインスピレーション 的存在
固定電話（Spectrum） は長年利用し、 補聴器との相性も抜群 で日常に不可欠
スマートフォン は近年導入、最初はWi-Fiのみの利用だったが、 外出先でも使うためSpectrum Mobile契約 （Verizon回線利用）に切り替え
Signalグループチャット などで地域コミュニティと積極的に交流することも増加

SMS 2FAの深刻な問題点

自宅周辺で携帯電波がほぼ圏外、カバレッジマップ上は「完璧」と表示されているが現実とは乖離
Wi-Fi通話を有効化 しても、 5桁ショートコードからのSMS（2FA認証コード）は未着信
友人や家族からの通常SMSは受信可能だが、 多くのWebサービスの2FAコードは届かない
固定電話のSMS読み上げサービス もSpectrumでは未対応と明言される
TOTP（ワンタイムパスワードアプリ） への切り替えも、一度はSMS 2FAでログインしないと設定不可
結果として、 多くのウェブサービスに自宅からログイン不可能 という状況に陥る

問題解決への苦難と現実的障壁

解決のための手順 は非常に煩雑
- ロックアウトされたWebサイトのリストアップ
- 友人に会うために街に出て、ネットが使える場所で順次TOTPへ切り替え
- TOTP非対応のサービス には直接連絡し、2FA解除を依頼する必要（多くが不可能）
代替案 として
- VOIPサービスへ番号をポートインし、Wi-Fi経由でSMS受信 すること
- 高額なセルラー信号ブースター設置
- 引越し
どれも 現実的でない選択肢 であり、「ウェブサイトにログインするだけ」のために必要なのは理不尽

地域格差と2FA方式の限界

カバレッジマップと実際の通信状況の乖離 が深刻
SMS 2FAの使い勝手の良さ （直感的・多くの人に理解しやすい）ゆえに普及しているが、 インフラが追いついていない地域では致命的障壁
TOTPアプリ導入の難しさ （アプリ選び・技術的説明・初期設定の煩雑さ）が高齢者や非技術者にとって大きな負担
アパラチア山脈地域だけでも数千万人規模 が同じ問題に直面している可能性

今後の提案・課題

ウェブサービス側でTOTPや他の2FA方式の標準化・簡易化 を進めること
ISPや通信事業者によるカバレッジ情報の正確な公開 と、 Wi-Fi経由2FAコード配信の標準化
高齢者・地方居住者にとってのデジタルバリアフリー 推進
ユーザー視点の認証UX設計 と、 サポート体制の強化
現状のSMS 2FA偏重の見直しと多様な認証手段の提供 が急務であることを社会全体で認識すること

まとめ

地域インフラとデジタルサービス設計の断絶が、日常生活に深刻な支障をきたしている現実を 再認識 すること
高齢者や地方住民も含めた誰もが安全・簡単にデジタルサービスを利用できる社会 の実現が求められる

Hackerたちの意見

TOTPとかHOTPとか。SMSは番号が必要だから、マーケティング会社が実名をデータに結びつけられると、データの価値が上がるんだよね。全部のデータを集約するのにも電話番号が役立つし。

└

マーケティング会社が実名をデータに結びつけられると、データの価値が上がる。全部のデータを集約するのにも電話番号が役立つ。これはほとんどがハリボテみたいなもので、SMS認証を必要とするほとんどの場所はすでにあなたのフルネームや住所を持ってる（例えば、金融機関や医療提供者）か、その情報を推測できる通信を傍受できる立場にある（例えば、Google）。もしTikTokみたいなアプリやサイトが2FAのために電話番号を要求するなら、無視するか、バーナー番号を使えばいい。

└

残念ながら、TOTPもHOTPも「見たものがサインするもの」っていう特性を提供しないんだよね。これは銀行や他の取引にとって重要なことなんだけど。「このコードを入力するのは、あなたが支払いたい場合だけです」っていうのは、「ここにTOTPを入力してください」よりもずっと安全なんだ。これは、比較すると白紙の小切手を発行するようなもので、実際、EUでは規制で求められているんだよね。WebAuthNですら、侵害されたコンピュータではその特性を提供しないし、それにはSPC拡張 [1] と小さなディスプレイを持ったハードウェア認証器が必要なんだ。だから、今はそれを提供できる独自の銀行確認アプリに頼らざるを得ないんだよね。中立的な標準があればいいのにと思うけど、フェデレートクライアントアプリのプッシュ通知の仕組み（または、むしろ機能しない仕組み）を考えると、期待はしてないよ。 [1] https://www.w3.org/TR/secure-payment-confirmation/

Google FiはWi-Fi上で全てのSMS二要素認証メッセージを受け取れるし、ショートコードも含まれてる。電話がオフでも、どんなデバイスのウェブブラウザでも受け取れるから、電話が壊れても大丈夫。これが俺のお気に入りの機能の一つ。サービスは月20ドルから始められるよ。Fiは昔は山の方でも良いサービスを提供してたけど、今のUS Cellularはどうなってるか分からない。T-Mobileに半分買収されたみたいだし。

└

アメリカを出て12年になるけど、Google Fiを使うまではSMSにいつも困ってた。この記事にもあるように、最近は多くの銀行がSMSを要求するから、これが問題なんだ。バーチャル番号を提供するサービスはいろいろあるけど、いつも2つの問題に悩まされる。(1) VOIP番号はセキュリティ上の理由で一部の銀行に「ブラックリスト」されてる：彼らは本物の携帯番号を求める。(2) 技術的な理由でSMSが受け取れない場合もある。Google Fiはどこでも機能する。携帯サービスがなくても、Wi-Fi経由でトンネル接続する。Googleは、アメリカの外に出て1ヶ月経つとFiのデータをオフにするけど、問題ないよ。SMSと音声通話ができる「データなし」の接続に月25ドル払うのは嬉しい。

└

RCSや「messages for web」を使える？最後にチェックしたときは、「携帯電話がオフ」のテキスト/ボイス（基本的に昔のハングアウト）を使うには「fi同期」を有効にしなきゃいけなくて、そうするとRCS機能が無効になってたんだけど、それはまだ本当？テキスト/ボイスをするためにどのURLに行くの？（hangouts.google.comがgoogle chatにリダイレクトされるのは見たけど）。

└

Google Fiはデータ1GBごとに10ドルかかるよ。US Mobileの方が安くて、アメリカのトップ3プロバイダーを提供してる。

他の人たちと同じく、期待が大きすぎると思う。去年初めてライムスクーターを借りたんだけど、VPNの設定を間違えてインターネットが使えなかったんだ。スクーターに「終わったよ」って伝える方法がなかった。止まってたのに、ライドを終わらせるボタンもなかった。GPSで自転車ラックに止まってるのが分かったから、余分な時間（多分10分のうち5分くらい）を返金してくれた。もし電話が壊れたり、外出中に何か起こったらどうするんだろうって思う。

└

ドイツのDHLの荷物ロッカーを思い出すなぁ。新しいやつはもう画面がなくて、ロッカーを使うにはアプリを使わなきゃいけないんだよね。それに、ロッカーと通信するためにはBluetooth接続が必要で、さらにスマホもインターネットに繋がってないとダメってどういうこと？！ロッカー自体はインターネットに繋がってるのに、それで十分じゃない？

Google Voiceアプリをダウンロードする。これは一部の2FAサービスには使えるけど、全部には使えない。詐欺を恐れてGV番号を明示的に禁止しているところもあるから。GVはWi-Fi経由でSMSを受け取れる。2. 携帯電話会社にフェムトセルを頼む。昔は「AT&Tマイクロセル」と呼ばれていて、安かった。山に住んでるから、携帯サービスが改善される前に使ってたんだ。でも、AT&Tはもう作ってないみたいで、今は2500ドルもする。https://www.waveform.com/products/verizon-network-extender-f... 3. mightytext.netに登録して、コンピュータでSMSを受け取れるようにする。携帯電話が信号を受信できない場合にこれが機能するかは分からないけど、SMSメッセージを打つのに携帯のサムズよりもノートパソコンのキーボードの方が楽だから使ってる。

└

mightytext.netに登録すれば、パソコンでSMSが受け取れるよ。携帯電話が電波を受信できない場合、これが機能するかは分からないけど。無理だよね、どうやって？テキストを転送できるのはキャリアだけだし、アメリカの全キャリアでそのサービスが統合されてるとは思えない（技術的にいろんなレガシープロトコルの理由で結構難しいし）。Appleの衛星メッセージングサービスだけが、キャリアのSMSホームルーター（またはIMS相当）インフラに接続してSMSを傍受して転送できる唯一の解決策だよ。

└

USBモデムを手に入れて、電波が届く安全な場所にあるコンピュータに接続して、インターネット経由でアクセスするっていうのもいいよ。俺は逆に、モデムとRaspberry Piを使ってキャビンからメトリクスを送るようにしてるけど、逆にするのも簡単だよ。プロトタイピング中に、送ったSMSメッセージを解析するようにしてたんだ。もちろん、全員に合うわけじゃないけど、ここはHNだから…

└

ここでのセキュリティの本当のボーナスは、SMSへのアクセスがMFAで保護されていることだよ。

TOTPは一部のことには使えるけど、規制の関係で各コードやチャレンジが特定のアクションに結びつけられる必要があることが多い。TOTPコードは通常30秒しか持たないし、30秒の間に複数のアクションが起こることがあるから、多くの場合TOTPを使うのは難しい。代わりにPUSH承認を使うこともできるけど、そうすると使うサービスごとにアプリをダウンロードしなきゃいけなくて、あんまり便利じゃない。PASSKEYSは、ウェブとモバイルの両方で機能し、サービスごとにアプリをダウンロードする必要がない解決策を提供する。でも、これは新しい概念だから、人々がどれだけ早く受け入れるかはまだ分からない。

└

フィッシング耐性があるだけじゃなくて、銀行や決済に関してはWebAuthNが「見たものがサインするもの」っていう機会もあるんだよね。WebAuthNのセキュアペイメント確認拡張は、サードパーティのサイト（例えば、商業チェックアウト）でパスキーを使ったり、署名された構造化メッセージを含めたりするのをサポートしてるんだ。小さなOLEDディスプレイを持った認証器が、その情報を表示するためのエンドツーエンドのセキュアなチャネルを提供するっていうのもあり得るよね。もちろん、これには競合する決済ソリューションを持つ人気のハードウェアとソフトウェアのメーカーがこの拡張を実装する必要があるけど… [1] https://www.w3.org/TR/secure-payment-confirmation/

└

自分の好きな2FAはOTPと認証アプリの組み合わせだね。予測可能に動いて、変な失敗条件もないし。SMSの2FAは、特に国際旅行中にSIMカードが電話に入ってないときにGoogle Voiceをサポートしてないと最悪だよね。メールの2FAは大体うまくいくけど、ちょっと面倒だと思う。アプリ専用のプッシュ通知は大体機能するけど、通知が来ないとデバッグが難しいんだよね。例えば、最近新しい電話を買って、クラウドバックアップから復元したときにアプリが全部再インストールされたんだけど、なぜかアプリの通知が、アンインストールして再インストールするまで機能しなかったんだ。再インストールも少し混乱したよ、なぜならその時に物理的にいる国ではアプリストアにないアプリもあったから。

└

TOTPコードは通常30秒間有効で、その間に複数のアクションが起こることがある。サーバーはどのTOTPコードが使われたかを覚えておくだけで、最初の使用後は拒否すればいい。コードは使われた後はもはや敏感ではないから、数分後に期限切れになるタプルをデータベースに入れるか、ログイン監査テーブルに入れればいい。

└

田舎にいるDuoの顧客が何人かいて、いつもタイムアウトを長く設定しなきゃいけないんだ。というのも、ある地域ではプッシュ通知を受け取るのに1分以上かかることもあるから。彼らの一人は、Duoが唯一「通知系」で動くもので、他の実装は待機時間が足りないって言ってたよ。

彼女が利用できる他の選択肢には、> SMSをWi-Fi経由で受け取ることをサポートするVOIPプロバイダーに携帯電話番号を移行することが含まれる。これは一般的に素晴らしい解決策だけど、彼女がやり取りしている会社がセキュリティ上の理由でVoIP番号にSMS-OTPコードを送信しないところだったり、番号が「彼女の名前で登録されている」必要がある（多くの小規模キャリアはこれを行っていないみたい）場合は、そうでもない。これが違法だったらいいのに。電話番号は電話番号だし。> 彼女は電話でWi-Fi通話をオンにした。これで友達や家族からSMSメッセージを受け取れるようになったけど、2FAコードはまだ届かなかった。面白いことに、SMSがIMS経由で外部の送信者に透過的に実装されていると思ってたけど、プロトコル全体がハックみたいなもんだから、驚きはしない。

└

一般的には素晴らしい解決策だよね。ただし、彼女が関わっている会社がセキュリティの理由でVoIP番号にSMS-OTPコードを送らないところだったり、番号が「彼女の名義で登録されている」必要があるところだとダメだけど（多くの小さなキャリアはそういうことをしないみたい）。それが違法だったらいいのに。電話番号は電話番号だし、ほんと腹立つよね。いくつかの銀行を使ってるけど、Google VoiceがOKなところもあれば、ダメなところもある。一つはカスタマーサービスがGoogle VoiceにSMSトークンを送るのはOKだけど、通常のフローでは送らないんだ。ほとんどのケースで、彼らは喜んでGoogle Voiceの番号にロボコールして、SMSでは送れなかった同じコードをTTSエンジンで読み上げるんだよ。セキュリティポリシーがランダムすぎて、ほんとイライラする！

└

SMS以外の方法で2FAを許可しない同じ会社が、VoIPに送信しないっていうのは本当に馬鹿げてるよね。もしかしたら、SMSのためにブロックするサービスを通してるのかもしれないけど、それでもイライラする。使ってる銀行のほとんどがSMS 2FAを必要とするのに、使うランダムなサービスはアプリをサポートしてるっていうのが信じられない。

└

2FAのSMS用に電話でWi-Fi通話を使ってるけど、問題は一度もなかったよ。RedPocket（MVNO）でT-Mobileを使ってた。年間プランは200MBで、月に数ドルだけ。ここではT-Mobileのサービスがないから、Wi-Fi経由のSMSだけが使える。SMSの2FA用にしか使ったことがないよ。*スプリントとの合併で取得したバンドはサービスがあるけど、買った安い中古電話はスプリント合併前のもので、そのバンドがなかったんだ。

└

電話番号がこう使われるのは、2025年の今、KYCを文字通りやらなくてもシビル問題を半分解決するのに最適な方法だからだよ。

└

面白いね。SMS over IMSが外部の送信者には透明に実装されてると思ってたけど、プロトコル全体がハックみたいなもんだから、あんまり驚かないよ。ここでいくつかのことを説明できるかも。ほぼ確実に彼らが使ってるのはSMS APIだね。君の電話やネットワークは、電話が技術的にオンラインかどうかなんて気にしないから、メッセージは盲目的に送られて受信されるんだ（受信者がオフラインの場合、メッセージは受信キャリアによって3〜7日間一時的に保存されてから破棄される）。これらのSMS OTPシステムは「到達可能性」を確認するんだけど（https://developer.vonage.com/en/number-insight/technical-det... や https://www.twilio.com/docs/lookup/v2-api/line-status みたいなAPIを使って）、番号が「到達不可」の場合はメッセージを送信しないんだ。残念ながら、空気引用符が示すように、これらの方法は完璧じゃない。これはメッセージ送信のコストを削減するために行われてるけど（キャリアは商業顧客に対してはもっと高く請求する）、このケースのようにすでに確認済みの番号に対しては本当に愚かだね。

└

携帯番号をVOIPキャリアにポートしたら、送信者はそれがまだ通常の携帯番号じゃないって分からないんじゃないかな？俺はそんなポートされた番号を持ってるけど、SMSの2FAコードを受け取るのに問題はないよ。

└

それが違法だったらいいのに。電話番号は電話番号だよ。ヨーロッパの話ね。補足として、金融指令PSD2[1]は、SMSを2FAとして使うことを許可しているのは、その番号に対してすでにKYCが完了しているから（EUでは匿名SIMはもう許可されていない）。それに、2FAは受け取るOTPコードではないことも注意してね。このコードは「あなたが持っているもの」を確認するためのプロキシで、その「何か」は電話番号で、再び言うけど、物理的な人や会社にリンクされている。これについては何度もコメントしてきたけど、今日の時点ではSMSがスケールで簡単に展開できる唯一の2FA方法なんだ（すべてのデモグラフィック、すべての場所、すべてのモバイルデバイスと互換性がある）。 [1] https://en.wikipedia.org/wiki/Payment_Services_Directive

└

彼女は電話でWiFi通話をオンにした。これで友達や家族からSMSを受け取れるようになったけど、2FAコードはまだ届かなかった。全然違うものだね。一つはP2P、もう一つはA2Pだ。

└

"彼女の携帯番号をSMSをWiFi経由で受信できるVOIPプロバイダーにポートする" ... "... ただし、彼女が関わっている会社がセキュリティ上の理由でVoIP番号にSMS-OTPコードを送信しない会社の一つでない限り ..." 正解。実際、これはひどいアイデアだよ。なぜなら、たとえ「ショートコード」（銀行がコードを送るための変な小さな番号）からSMSを受信できるVOIPプロバイダーを見つけたとしても、それは一時的な見落としで、最終的には「修正」されるから。覚えておいて：これらはすべてあなたのセキュリティや助けのためではない。これらの対策は、詐欺やスパムトラフィックの relentless onslaught を遅らせるための砂に過ぎない。あなたの本物の携帯電話番号は、これらのプロバイダーがこの問題に対する実際の解決策がない中で頼りにしている「作業の証明」なんだ。

彼女にはマイクロセル/フェムトセルが必要だね。プロバイダーに相談して、家や職場で電波が悪いことを説明すれば、無料のインターネットからセルラーに出る無線APを送ってくれるよ。光ファイバーやケーブル、DSLがあれば、タワーベースのブースターは必要ないし、あれは弱い信号を増幅するだけだから。彼女はタワーから遠く離れてるし、RJ-45入力があって、E911の位置データをサポートするための小さなGPSアンテナが必要なんだ。それでLTE（または今は5G）のセルラーデータを放送することができるよ。俺は金属の壁がある店で働いてるけど、川の谷にあるから、セルラーデータのブラックホールなんだ。昔は、電話をかけるためにドライブウェイの丘を登ってたけど、いろんな人がATT、Verizon、T-Mobileに電話して、みんなフェムトセルを送ってくれたんだ。今では、ユーザーや訪問者の契約者は、自分の電話がタワーではなくISP経由のデータに切り替わったことすら気づかない、ただ機能してるからね。2FAコードやMVNOも含めて。彼女はMVNOを使う代わりに、ファーストパーティのVerizonサービスに切り替える必要があるかもしれないね。

└

大手の携帯会社が、知らない信頼できないISPにバックするセルタワーをランダムな人たちが運営するのを許可しているのは驚きだね。普段は自社のイメージやエンドツーエンドの体験をコントロールすることにすごく気を使っている企業なのに、信じられないほどリラックスしてる。

└

t-Mobileはもうそんなハードウェアを提供していないみたいだね: https://www.t-mobile.com/support/coverage/4g-lte-cellspot-se...

└

彼女はマイクロセル/フェムトセルが必要だね。でも、これにも問題があるんだ。特に、GPS信号を受信できる必要があるけど、山岳地帯ではそれが難しいことが多い。私は何年もマイクロセルを使っていたけど、信頼性が悪くて悪夢のようだった。定期的に（でもランダムに）動かなくなるし、なぜ動かないのか全くわからなかった。

└

Verizonから無料でもらった4G LTEネットワークエクステンダーを使ってるんだけど、唯一の問題は、家を出ると電話が切れちゃうこと。1月に911に電話した時、車を駐車場から通りに移動させてる間に電話が切れちゃって、住所を伝えた後だったんだ。911のオペレーターが、また電波が入るようになったら折り返し電話してくれたよ。数ヶ月後にVerizonから、住所で位置情報を編集するように言われた。早くテストする必要がないといいな。

コメントの中には、これがローミングしている人にとって敵対的な行動だって指摘しているものもあったけど、俺も完全に同意するよ。これが俺の解決策ね：国際ローミング中は、予備のAndroidを家に置いておいて充電器に繋いでる。AndroidにはSMSをAPIに転送するアプリがあるんだ： https://f-droid.org/packages/tech.bogomolov.incomingsmsgatew.... SMSを受け取るたびに、そのメッセージをこのAPIに転送する。するとAPIがそのメッセージをメールで送ってくれる。これを数年使ってるけど、問題はないよ。ローミングしてない時でも、プライマリの電話でこの設定を維持してるから、パソコンでSMS OTPが必要な時に電話を探しに行かなくても、メールで受け取れるんだ :-)。（注：これはMMSには対応してないけど、そもそも必要ないし）

└

このプロセスが電話にログインせずに機能しない限り、すぐに使えなくなるかもしれないね： https://mashable.com/article/android-smartphones-automatical...

└

俺も似たようなことをしたことがあるよ。古いAndroidを家に置いておいて、ノートパソコンからmessages.android.com（今はgoogle.com）にログインして、セッションが旅行から戻るまで失われないことを祈ってたんだ :) 最近は、SMSがWiFi通話で使えるようになって、Google Voiceじゃダメな本物のSMSが必要な時は、WiFiを待つことができるよ。

└

これがローミングとどう関係あるの？俺はヨーロッパでいつもローミングしてるし、他の地域でもたくさんローミングしてるけど、SMSを受け取るのに問題があったことは一度もないよ。

└

あなたの電話がWiFi通話とデュアルSIMに対応しているなら、訪れている国用のデータ専用eSIMを取得できるよ。そうすれば、セカンダリのeSIMのデータ接続を通じて、メインの電話番号にテキストが届くんだ。

└

"国際ローミング中は、予備のAndroidを家に置いて充電器に繋いでSIMカードを入れっぱなしにしている。AndroidにはSMSをAPIに転送するアプリがある ..." これを「2FAミュール」と呼ぶんだ：https://kozubik.com/items/2famule/ 私はこれを4年以上やっていて、素晴らしく機能しているよ。よかったね！

└

SMSの2FAが嫌いなのはローミングのせいなんだよね。EUのある国から別のEUの国に住んでるんだけど、元の国のSIMカードを持ってるんだ。でもそれはプリペイドで、年に2回しかチャージできないから生き残らせるために（でもプリペイドだから、最も高いオプションを買わないとローミングは使えないし、元の国に2ヶ月に1回くらいしか帰らない）。今、元の国の特定のサービスでSMSの2FAが必要なんだけど、そのサービスは国内の番号以外は受け付けないんだ（だから旅行の時に使うためにその番号を持ってる）。他のタイプの2FAもダメだし。だから、基本的に電話の2FAは役に立たないし、障害になってる。

ああ、これ俺にもある。SMSコードが受け取れなかった理由がこれだとは気づかなかった。時々はうまくいくけど、時々はダメなんだ。俺は田舎に住んでて、WiFiとモバイルの両方でスペクトラムを使ってる（記事の女性と同じように）。携帯サービスはあるけど、その日の電波の強さによって、通常は通話やSMSにはWiFiに頼ってる。SMSコードは当たり外れがあって、これで説明がつくね。

どこかに特定のグループに対して常に敵対的なものがある。それが現実なんだ。最小限に抑えようと努力するけど、完全には排除できない。2FAサポートに関わったことがある人として言うけど、どの方法もイマイチだよ。SMS 2FAは最も安全性が低いけど、サポートが広くて回復方法も早い。TOTPアプリ（Google Auth、Authy、iOSパスワード）はもっと安全だけど、人々は電話を変えたり、失くしたりするから、回復はいつも悪夢だ。Yubikeyみたいなものはコストの問題があって、やっぱり回復の問題もある。私の頭の中では、連邦政府が何らかの中央集権的なハードウェアベースのシステムを運営して、政府のオフィスが身分を確認した後にハードウェアを交換できるようにするのが明確な解決策だと思う。政府はすでにDoDのCaCカードのためにこれをやっている。しかし、アメリカではプライバシー擁護者たちが発狂して、資金は常に攻撃されるだろう。だから、そうだね、SMS 2FAが山の人たちに敵対的なのは理解できるけど、2FAはログインサービスやエグゼクティブヨットにも敵対的なんだ。

└

プライバシー擁護者たちが発狂するだろうプライバシーの認証は有効な懸念かもしれない（例えば投票中）、でもここにどう適用されるのかはわからない。もし私が銀行に自分が自分であることを確認したいだけなら、すでに銀行に伝えた私に関するすべての詳細とともに、私は非常に明確にプライバシーを放棄している。私は正確に特定されることを明示的に求めているんだ。

└

Yubikeyとかはコストの問題があって、リカバリーの問題もあるよね。複数のキーを持っていれば、リカバリーは比較的簡単だよ。全部のキーを登録しておいて、1つを失くしたら新しいキーを買って、他のキーの1つで登録すればいいんだ。

└

政府が何らかの形で中央集権的に管理するのは、ちょっと勘弁かな。

└

政府が私の代わりにアカウントアクセスを再設定できるシステムは、政府が私の知らないうちに私のアカウントにアクセスできるシステムだよね。いらないよ。もし政府がハードウェアを交換して、アクセスの再設定は自分次第っていう意味なら、それはYubikeyと変わらないよ。

ハクソク