南極でのSMS多要素認証に関する問題とは？

現代社会でオンライン生活を営むにあたって、携帯電話番号でのSMSを用いた多要素認証(MFA)は避けては通れません。携帯電話番号によるSMS以外でのMFAをサポートする企業もある一方、SMSでのMFAに固執している銀行も複数あります。しかし、アメリカの南極基地であるマクマード基地にはどのキャリアの電波塔もなく、SMSを用いたMFAを行うことができないのが現状です。そこで、マクマード基地でITプロジェクトに従事しているbrr氏がこの問題について解説しています。

SMS Multifactor Authentication in Antarctica
https://brr.fyi/posts/sms-mfa

南極で活動する上での問題に関する公式ガイダンスには、「活動する前にSMSによるMFAを無効にする」と記載があるものの、MFAを容易に無効にできず、電話番号が必要となるサービスは常にいくつかあるとのこと。

そこで、SMSを用いたMFAを南極で実行する方法についてbrr氏は以下のように解説しています。

◆1：失敗例
brr氏はまず、Verizon Messages Plusを用いることによって南極でオンラインになるコンピューターににテキストメッセージを同期させ、SMSでのMFAを試みました。ですが、Verizon Messages Plusでは個人間のSMSの送受信などは可能であった一方で、Verizonのポリシー上、SMSによるMFAは機能しなかったとのこと。

次に、brr氏はGoogle ボイスを用いることで電話番号をGoogleボイスに移し、Googleボイスのウェブサイト上でテキストメッセージを送受信することを試みました。この試みは75%成功し、25%は失敗に終わりました。理由としては、銀行側がプロバイダーが提供するAPIを使用して、その電話番号が実際の携帯電話の番号ではなく、固定電話やGoogleボイスのような仮想化されたVoIPの場合にSMSによるMFAを拒否した可能性があると説明しています。

◆2：妥協案
brr氏は妥協案として3つの策を示しています。1つ目はWi-Fi通話を使用することです。この方法では、インターネット接続を介して携帯電話を接続し、テキストメッセージの送受信を行うことができます。ですが、Wi-Fi通話は安定したブロードバンドが前提とされており、通信が不安定なマクマード基地では困難だとのこと。

2つ目の策として、音声を用いたMFAを提示しています。これはSMSでのMFAを行うのではなく、音声通話をリダイレクトしてMFAを行う方法です。多くの銀行やApple ID、Googleも音声でのMFAをサポートしており、SMSでのMFAよりもはるかに簡単だとbrr氏は述べています。一例としてbrr氏は自身の携帯電話番号を一時的に国内の友人に転送し、音声通話に応答してもらい、そのコードをメールやチャットで送信してもらうといった方法を紹介しています。

3つ目の策は「あきらめる」ことです。南極での仕事は数カ月で終わるため、南極においてSMSでのMFAが必要になる場面を避けることを勧めています。

◆3：実際の解決策
brr氏が実用的だとする解決策は2つあり、1つ目は銀行をだますことです。Googleボイスを用いたMFAの問題点として、銀行側が「Googleボイスを使用している」ことを判断できる点にあります。そのため、Googleボイス以外の、銀行側が実際の携帯電話番号だと思い込むVoIPプロバイダーを使い、SMSでのMFAを行う方法を紹介しています。ですが、その日機能したプロバイダーは次の日には機能しない可能性があり、「いたちごっこ」だと述べています。

2つ目は、南極以外に実際の携帯電話を置いていき、テキストメッセージを電子メールに転送するアプリを用いて、南極でアクセスできるようにするという方法です。この方法は、brr氏が実用している解決策で、セキュリティ上の欠点などはあるものの、南極で実際にテキストメッセージを取得するための唯一失敗のない方法だとしています。

結論としてbrr氏は「物理的な携帯電話にアクセスできない場合のSMSを使ったMFAの現況について、この記事が役に立つ概要になることを願っています」と締めくくっています。