「「Ameba」オフィシャルブログ、不正アクセス被害」記事へのコメント

未だに時々パスワードを平文で保存してるところがあるけど

[kousokubus (37099)]

アメブロの騒動、あとからおいついたので現物見てませんが、状況から見てIDとパスワードが平文で保存されてたってことでしょうな。
時折サービス登録するとパスワードが平文で送られてきたり「ハッシュしないで保管してるっぽいなー」ってとこがあるんですが、これはなぜなんでしょう？
# アメブロの場合は芸能人ブログだけ特別扱いで管理してたのかもしれませんけど

流石にハッシュ後を保存するって教科書レベルの話を知らない開発者が居るとは思えないので、なんか理由があるんだと思いますが……
「パスワードは聞けば教えてくれるはずだ」みたいなユーザが多いから？

何らかの理由で「こんな実装したくないのに……」と苦汁を飲んだ開発者が/.Jに居れば、こっそり教えてください:-)

Re:

[Anonymous Coward]

「いくらなんでもアレだけの会員数を抱えたサービスですし、Pマーク取得してる企業なのですから、パスワードのハッシュは普通にしているでしょう。」と仮定すれば、
芸能人・芸能事務所という特殊な組織を相手する都合、記事を管理するのは芸能人本人、芸能事務所、そしてサイバー、の三者だと思います。
サーバー側が記事を管理する理由はいくつか考えられます（ネット文化に疎い芸能人および事務所相手にコンサルのごとく対応した際の流れ、など）。
そして、社員などが使える管理画面で、指定した記事を修正するような機能が用意されておらず、
直接ユーザ画面から入って記事をいじる運用になっていた。そのため、
漏れないことを前提にした芸能人用ID・Passリストが社内管理されていた…と。
仮定だけで恐縮ですが。

ともあれ、ユーザからすれば信用度は普通に落ちますし、相手が芸能事務所だけに目に見えない後始末はそら大変でしょうに。

Re:未だに時々パスワードを平文で保存してるところがあるけど

[firewheel (31280)]

＞相手が芸能事務所だけに目に見えない後始末はそら大変でしょうに。
「ブログの画像は削除されたが、エクセルデータには、IDとパスワードのほかに、
　サイバーエージェントの社員と推測されるメールアドレスのほか、
　芸能プロダクションにブログを書いてもらうための営業用の資料も掲載。
　「事務所ごと取りに行こう！」「事務所内もしょぼい」「バーター必須であれば」など、
　芸能プロダクションについての生々しい評判も掲載されている。」
http://www.cyzo.com/2010/01/post_3556.html [cyzo.com]

後始末はすごく大変になりそうな予感。