住信SBIネット銀行で振込をしようとおもって、
財布からキャッシュカードを出してたら、弟に「乱数表を持ち歩いてるの?」と言われた。
いやいや、キャッシュカードの裏が乱数表になってるんですよ。
ネットバンキングに使う乱数表については過去にも文句を書いている。
ネットバンキングのメリットをフルに生かそうとすると乱数表は持ち歩くべきだが、
そんな使用頻度の低い物を持ち歩くかというと、なかなかそうもいかない。
ただし、住信SBIネット銀行はキャッシュカードと乱数表が一体化しているのでその限りではないと。
イオン銀行(クレジットカード一体型は分離)、じぶん銀行もそうみたい。
そこで弟は「そんなもの持ち歩いて、セキュリティ上の問題は無いの?」と聞く。
乱数表を持ち歩くリスクか、そんなの考えたことなかったな。
これはいろいろ意見があるかと思うが、乱数表だけ入手してもなにもできないような気がする。
住信SBIネット銀行で振込を行うまでに必要なものは、
- ログインID
- ログイン用パスワード
- 取引用パスワード
- 乱数表の指定マスの数字
だけど、このうちキャッシュカードに書かれているのは乱数表だけで、あとはなにもない。
特に確認用パスワードが別途必要なのは大きいだろう。ここまで割るのはなかなか難しいのではないかと思う。
「カードを盗んだ人に対して選択的に攻撃を仕掛ければいけるんじゃないの」というのは確かにそうかもしれないけど。
もっとも、これが三菱東京UFJ銀行だと、
ログインに使う契約者番号は乱数表のカードに書かれていて、取引用パスワードはないから、
ログインパスワードさえ割れてしまえばそれで取引できてしまうので、それなりに問題はある。
取引用パスワードがないのは致命的だと思うんだけどなぁ。
けど、そういうシステムは多そうだな。よくよく考えてみると、僕が使ってる地方銀行のシステムもそうだわ。
そういうところだと乱数表を持ち歩くのは怖いかも知れないな。
一番いいのは住信SBIネット銀行のスマート認証だろうな。
二経路認証ということでかなり理想的な方法だし、いつも携帯しているスマートフォンで認証出来るし。
残念な事にこのアプリは初期設定にカメラを使うのだが、僕のNexus7はカメラがないので使うことが出来ないのだけど。
住信SBIネット銀行はキャッシュカードに乱数表があるからそれでいいのだが、
他の銀行の乱数表について、写真をタブレットに暗号化して保存して、それで持ち歩こうかということを考えていた。
暗号化して写真を保存するソフトはいろいろある。もっとも想定しているのは見つかると困る画像を隠すという用途であることが多いが。
暗証番号を忘れても暗証番号をE-mailで再送するから安心というのはどうなんだと思ったが。
そういう意味では本当に流出するとまずい情報を保存するには不適切なのかもしれないけど、気休め程度には。
一応、ダミーのE-mailアドレスを入れて、暗証番号の再送が無意味になるようにはしておきましたけどね。
ともかく、これで他の銀行の乱数表を出先で確認して使うことができるようになる。
リスクは多少増えただろうが、それでもメリットの方が勝るのではないかと思っている。
ところで、先日、ゆうちょ銀行からトークンを無償配布するというハガキが届いた。
「トークン（ワンタイムパスワード生成機）」について (ゆうちょ銀行)
確認用パスワードの代わりに使うそうだ。
トークンで生成したワンタイムパスワードを認証に使う方法はソニー銀行とかジャパンネット銀行も使ってたな。
乱数表の番号を全て打ち込ませて、みたいな攻撃には強いだろうけど、
トークン盗まれたらどうしょうもないし、手に入れたワンタイムパスワードをすぐ使えばそれでいいとも言えるし、
どれぐらい強固なもんかなという疑問はある。
トークンを申し込むかは任意なのだが、トークンを持ち歩かないと出先で使えなくなるのは不便だということで申込みをしていない。
面白いとは思うんだけど、物理的なトークンに依存する利点と欠点、どちらもあるよねと思うところ。
少なくともトークンを写真で撮影したところで無意味というのは一般的には長所だろう。
乱数表は写真で撮影して持ち歩くことができるのだから。