ただの個人的な感想。性能の保証はしない。
私は仮想通貨を持っているのですが、以前Google Authenticatorのワンタイムパスワードの控えを保管したくて変更申請を出したら間違えて変更した後のパスワードを控えずに変更を完了させて苦い思いをしました。
その時は取引所の担当者のおかげでなんとか事なきを得たのですが、その時から２段階承認するにしても、そのシードフレーズ自体も保存しておこうという結論になりました。
ただしこの方法でも次のような問題があります。
- ２段階承認のシードフレーズが漏れ、かつ、ログインIDとパスワードも漏れたら資産が失われる可能性が非常に高い。※仮想通貨かつ自身の管理責任不足であるため
ではどうすればいいかというと、単純にデバイス毎に管理を分けてしまえばいいという案です。たとえば、
みたいにすること。
どちらか片方の情報だけを保存しつつ、どちらかがハッキングとかで盗まれてももう片方の情報は同じ媒体に保存しなければいいという簡易的ながら効果的な保管方法があるなと。もっと言えば、同一セグメントを使わないようにスマホ側は自宅Wifiを使ったりしないで全部モバイルキャリアの通信回線だけを使うとかで完全に独立させるとかが効果的でしょうか。
当然ながら物理的に両方盗まれてしまったらアウトですし、どちらも盗まれるような脆弱性のあるソフトを使ってしまったとかだったらもうアウトなんですけれどもそこそこは役に立つでしょう。
それとは別に取引所等の中央集権的なログイン情報としてGoogle Authenticator用のシードフレーズ自体は保管をしなければ問題ないということも挙げられる。特に日本の取引所。
日本の取引所なら少なくともKYCは必須であるため、最悪個人を証明することを取引所に伝えればシードフレーズを紛失してもなんとかなる可能性は高いと思われます。
そういう意味だとシードフレーズ自体の保存はせずに、Google Authenticatorの登録をスマホ2台にしておくという手もあります。それならどちらか片方紛失したり壊したりしても1台残ってますし、最悪2台壊れても何とかなる確率は高い。さらに言えば別筐体でパソコンでのみログインするという対策を取れれば割と十分じゃないかなと思った次第。
まー、これも物理的に盗まれ、かつ、IDとパスを同時にハックされたらアウトなんですけどね。ただなかなかの確立じゃなかろうかとは思う。同じWifiネットワーク使ってたら案外両方ハックされる可能性はあるかもしれないけどね。
ということで、どちらにしても日本の取引所を使ってる分にはそこまで目くじら立てて頑張ってシードフレーズまで保存しなくてもいいかなぁと言う結論になりました。あれ、タイトル詐欺っぽくなったか。まぁいいや。スマホにGoogleAuthenticator情報入れるだけにすればいいよって話でした。
自宅にパソコンとか家用の回線持ってない人はどうすればいいかとかは知らない。
