ブラウザ以外のクライアントはGmailの2要素認証に対応していますか？
Muttのようなクライアントを使用してメールにアクセスする場合、おそらく2要素認証をサポートしていないことがわかります。それでもパスワードだけが要求されます-アカウントパスワード、またはGmailの場合はアプリケーション固有のGmailパスワード。
私の懸念は、攻撃者がmuttなどのクライアントを介してログインすることで、Gmailの2要素認証を回避できることです。アプリケーション固有のパスワードを設定することはできますが、存在するすべてのクライアントに対して設定することはできません。そして、はい、誰かが自分のパスワードを持っている場合、ゲームは既に終了しています。しかし、2因子は追加の防御線であると考えられており、これはその追加の防御を弱体化させるように見えます。
これは本当の脅威ですか？それを処理するための推奨される方法は何ですか？
アプリケーション固有のパスワードは、Googleに対する2要素認証をサポートしていないアプリケーションに現在提供されている唯一の回避策です。これは、2要素認証を効果的にバイパスしますが、ある程度までです。
明らかに、主なリスクは、侵害されたアプリケーション固有のパスワードを使用して、認証に2番目の要素を必要とせずにアカウントにアクセスできることです。 Googleでは、パスワードを一般的なユーザー生成のパスワードよりもはるかに強力にし、特定のアプリ固有のパスワードを1回だけ表示することで、このリスクをある程度軽減しています。
アプリ固有のパスワードが表示および保存される環境のセキュリティを確保し、特定のアプリ固有のパスワードを1回だけ使用し、アプリ固有のパスワードをパスワードフィールド以外の場所にコピーしないことで、これを軽減する必要もあります。それを必要とするアプリケーション。また、いつものように、信頼できないネットワークではアプリケーションを使用しないでください。
アプリ固有のパスワードを管理および監視するためにGoogleが提供するメカニズムを利用する必要もあります。特に：
- アプリ固有の新しいパスワードが作成されると、Googleからアラートが通知されます。これらに注意してください。
- アプリ固有のパスワードのカスタム名を作成できます。わかりやすい名前を付けてください。
- [アプリを選択]または[デバイスを選択]で[その他（カスタム名）]を選択します。
- 最後にアプリ固有のパスワードが使用されたのがいつかを確認できます。常にチェックインしているアプリケーションの場合、これはあまり有用な情報ではない可能性があります。ただし、デバイスがしばらくの間オフラインであることがわかっていて、最近の使用を確認した場合でも、これは問題の兆候である可能性があります。
- 使用されなくなった、または乱用の兆候が見られるアプリ固有のパスワードを取り消すことができます。
結局、アプリ固有のパスワードを作成するには、そのアプリケーションが2番目の認証要素なしで自分のアカウントへのアクセス許可を持つことを許可するリスクを受け入れる必要があります。