「「Ameba」オフィシャルブログ、不正アクセス被害」記事へのコメント

未だに時々パスワードを平文で保存してるところがあるけど

[kousokubus (37099)]

アメブロの騒動、あとからおいついたので現物見てませんが、状況から見てIDとパスワードが平文で保存されてたってことでしょうな。
時折サービス登録するとパスワードが平文で送られてきたり「ハッシュしないで保管してるっぽいなー」ってとこがあるんですが、これはなぜなんでしょう？
# アメブロの場合は芸能人ブログだけ特別扱いで管理してたのかもしれませんけど

流石にハッシュ後を保存するって教科書レベルの話を知らない開発者が居るとは思えないので、なんか理由があるんだと思いますが……
「パスワードは聞けば教えてくれるはずだ」みたいなユーザが多いから？

何らかの理由で「こんな実装したくないのに……」と苦汁を飲んだ開発者が/.Jに居れば、こっそり教えてください:-)

Re:

[Ay (33430)]

HTTPのdigest認証、SMTPのcram-md5認証、POP3のapop認証など、クライアントでハッシュ化、ハッシュ値をネットワークに流すタイプの場合は、認証情報は平文(というかハッシュでなく復号可能な状態)で保存しておく必要があるのでは？

今回の騒動には当てはまりませんが…

Re:

[Anonymous Coward]

digest認証を行うのであれば、パスワードを保存する必要は皆無

Re:未だに時々パスワードを平文で保存してるところがあるけど

[127.0.0.1 (33105)]

認証は重要部分なだけに、digest認証は大事・大事er・大事est～と最上級表現なんですね。