「JALが携帯電話を使わない二段階認証を採用」記事へのコメント

折り返し認証

[Anonymous Coward]

予約周りにオペレータの特殊な操作が必須になる例外事項がやたらめったら多いので、電話というUIを変えるのは難しいんだろう。
それならいっそのこと、二段階認証とかややこしい事をせず、シンプルに折り返すことにしたら早いんじゃないかな。

電話をかけて自動応答システムに対してパスワードまで入力すると
「登録しました。登録されている携帯へ折り返しますのでしばらくお待ち下さい」との案内後、一旦電話が切れる。
待ってたら、JAL側から電話がかかってきて、それを取ってからやりたかった手続きを続ける。

これで、いわゆる二段階認証と同等のセキュリティになるはず。

Re:

[Anonymous Coward]

私はそんなことでは満足できず、RSA SecurID カードじゃないととてもセキュリティ上満足できません。

というように、あなたの満足とシステムが適合しないことは往々にあるのです。

要件と時間、コスト、使い勝手を天秤にかけた結果、今の形になったのは簡単に想像できます。
実際JALが今手元にあって、ユーザが絶対に失念しないパスワードに利用可能な値っていうのは生年月日か性別か、姓名か...そんなもんじゃないでしょうか。
生年月日がよくないなんてことわかってないはずがない、それでもやらないよりはやるほうが絶対正しいと思う。

Re:折り返し認証

[Anonymous Coward]

絶対という言い過ぎが引っかかる。

もし「何であれセキュリティが向上するなら絶対正しい」の意味なら、そういう考えは端的に言って社会の敵。

「今回の件は引き越されるユーザビリティの低下とセキュリティの向上、導入コストを天秤にかけた上で」、
「正しい」という意味であれば、納得する余地はあるが、絶対と言い切るにはかなり慎重な検討が必要。

折り返しを使った二段階認証もどきの良いところは、ユーザビリティはある意味向上するという点。
大体、電話をかけてお客様番号とパスワードを入力すると、その後、オペレータに繋ぐところで数分待たされる。
混んでいるときに至っては、10分を越えるような待ち時間の見積もりが自動音声アナウンスされるぐらい。
折り返しにすれば、この待ち時間、通話を維持する必要がなくなる分だけユーザの負担が減る。

そういう意味で、ぼくのかんがえたさいきょうの方式、だと思ったんだけど、いまいちなアイデアだったことは別途、既に論破されたとおり。