CISA による携帯通信のベストプラクティス
米国 CISA が携帯通信のベストプラクティスを公開している。
この記事では覚え書きとして記しておく。
一般的な推奨事項
“General Recommendations” としては以下の8つ。
- Use only end-to-end encrypted communications.
例として Signal を挙げている - Enable Fast Identity Online (FIDO) phishing-resistant authentication.
Yubico や Google Titan のようなハードウェアベースのキーを推奨しているが代替手段として FIDO パスキーも許容されるとある - Migrate away from Short Message Service (SMS)-based MFA.
MFA (Multi-Factor Authentication; 多要素認証) の2番目の要素として SMS は使わないという話。ただしアカウント回復フローとして SMS を使う場合があるため完全な排除は現実的ではないと述べている - Use a password manager to store all passwords.
例として以下のアプリを挙げている - Set a Telco PIN.
スマホの画面を開くときの PIN コードではなくキャリアとの間で決めている PIN コード。いわゆる SIM スワッピングに対抗するための重要なステップだと述べている - Regularly update software.
OS とアプリの両方のアップデート。自動更新を有効にしろとある - Opt for the latest hardware version from your cell phone manufacturer.
古いハードは最新のセキュリティ機能が組み込まれていない場合があるため - Do not use a personal virtual private network (VPN).
無料および商用 VPN プロバイダーのセキュリティおよびプライバシーポリシーは怪しいとして，プライベート VPN の利用はセキュリティリスクを ISP から移転しているだけに過ぎないと述べている
iPhone 固有の推奨事項
私は iPhone も iPad も持ってないので “iPhone-Specific Recommendations” についてはよく分からない。 ので，項目を列挙するだけに留める。
- Enable Lockdown Mode.
- Disable the following setting to ensure messages do not send as SMS if iMessage is unavailable.
- Disable: Settings → Apps → Messages → “Send as Text Message”
- Protect your Domain Name System (DNS) queries.
- Enroll in Apple iCloud Private Relay.
- Review and restrict app permissions through Settings → Privacy & Security.
携帯端末の維持は難しい
個々の項目についての感想は控えるが，スマホを含む携帯端末は紛失・盗難リスクが高い上にハードウェアや OS のバージョンアップ・サイクルが短く（自宅機の買い替えが8年単位の私から見て）頻繁に買い替えが必要なのが致命的だと思っている。 これのせいでスマホを認証デバイスとして使うことに躊躇してる。 如何にしてスマホに依存しないオンライン活動をするか，だよなぁ…