Googleのバックアップコード、なぜ安全？

質問

8ケタの数字を10個生成して、ログインできなくなった時に1個消費して認証できる機能ですが…
よくパスワード作成時に「大文字小文字数字記号8ワード以上」とか言われますが、数字のみで、しかも10個も使えるのはセキュリティー的に安全なのでしょうか？
銀行の暗証番号なんて4ケタですが、上記パスワードより単純でOKな理由も教えて下さい。

回答No.1

notnot · ベストアンサー

100%安全か？といわれと、「世の中に100%安全などそもそも存在しません」というのが回答ですかね。

「ID」＋「パスワード」＋「二段階認証でスマホなどに送られてくるコード or バックアップコード」
で認証するわけですが、二段階認証でスマホなどに送られてくるコードは、4桁とか6桁の数字だったりするので（Googleは6桁だったか）、8桁というのはそれらよりは少しましと言うことでしょうか。使い捨てという意味でも、スマホに来るワンタムパスワードと同じです。
「ID」＋「パスワード」の認証を乗り越えた先の話なので、パスワードほどの複雑さは無くても良いと言うことでしょうね。
いずれにせよ、二段階認証してないよりはずっとましです。

「他の方法よりまし」と「絶対100%安全」とは違います。

> 銀行の暗証番号なんて4ケタですが、上記パスワードより単純でOKな理由も教えて下さい。

Googleバックアップコードとは無関係に、銀行キャッシュカードの暗証番号の質問ですかね？
4桁数字は安全では無いですよ。キャシュカード盗まれて（あるいはスキミングで複製されて）暗証番号推測されて引き出されるという犯罪は多くは無いけど、珍しくもないと思います。
ただ、ATMで暗証番号を3-4回間違えるとカードがロックされて、ロック解除は銀行側の人間とやりとりしないと駄目なので、「数回間違えてロックされても、ロックが解ける数時間後に再トライできる」ようなウェブシステムよりは安全かと（まともなシステムなら、ロックの段階で正規ユーザーにメールでその旨の連絡が行くはずですが気にしてない人も多そう）。
キャッシュカードの場合は、カードの盗難・紛失・スキミングによる複製など、物理的なものも必要だし。
これも比較の話ですが。