パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Slashcodeに一部ユーザのパスワードが漏れるリスク(対処済)」記事へのコメント

  • タレコミ人です。この件は、タレ込んだ後にBUGTRAQの方で進展がありました。その 進展を踏まえた補足を日記に書いておきました [srad.jp]。

    ところで、「注意はよく読みましょう部門」とのことですが、その「注意」というのは、「全く安全ではないですが,とても便利です」のことでしょうか?

    タレコミにも書きましたが、BUGTRAQで報告されたときの、slashcodeのメンテナの第一声は、「きちんと警告している」という弁明でした。原文 [securityfocus.com] では、

    ...you were impatient, I guess. But the explanation is simple. Our users access that link from these pages: (略)
    which inform him

    • ちなみに同メンテナは、 以前書いたように [srad.jp]、XSS脆弱性を指摘されたときにも、 「これはバグではあるが、exploitが無いので、脆弱性ではない。」と誤った反論をしていたことがあります。

      一般に、脆弱性の指摘を受けたときは、問題ないとする反論をまず考えようとするのではなく(ついそうしてしまうのはわかる

      • by Anonymous Coward
        粘着して叩いてる暇があったら仕事しろよ。
        それとも仮名で叩くのがAISTの仕事か?

        そもそもあんたらセキュリティゴロが些細な問題でこっぴどく叩きまくるから、とりあえず防衛本能として「問題ない」と言ってしまうんじゃないか?
        今回の件も「パスワードが漏れる」じゃなくて、「誤入力した(ログインできない)パスワードのMD5値が漏れる」だろ?針小棒大に騒ぎすぎだよ。それともMD5値から元のパスワードを復元する方法でも見つけたの?それは素晴らしい!!

        問題を見つけても、鬼の首を取ったように騒ぎ立てるんじゃなくて、メンテナが対処を取りやすいように、外部の騒

        • 誤解があるようですが、私は叩くということをしていません。

          今回の件も「パスワードが漏れる」じゃなくて、「誤入力した(ログインできない)パスワードのMD5値が漏れる」だろ?

          誤入力ではなく一度変更している場合です。再び元に戻している場合には、変更が必要です。また、他のサイトで同じパスワードを使用している場合にも警戒が必要で、これらのことは知らされるべきです。

          それともMD5値から元のパスワードを復元する方法でも見つけたの?それは素晴らしい!!

          パスワードによっては短時間で復元されることがあります。

          問題を見つけても、鬼の首を取ったように騒ぎ立てるんじゃなくて、

          私は問題を見つけたのではありません。

          • by Anonymous Coward on 2002年09月24日 20時31分 (#171321)
            誤解があるようですが、私は叩くということをしていません。
            あなたは他人の痛みがわからない人なんですね。
            また、他のサイトで同じパスワードを使用している場合にも警戒が必要で
            「MD5値からパスワードを復元できる」という前提が成り立てばその通りですが、そういう前提は成り立ちません。
            パスワードによっては短時間で復元されることがあります。
            は?何言ってるんですか?
            類推可能なパスワードをMD5して該当MD5値と一致したら「復元された」と言ってますか?
            それはMD5値を復元したのではなく、類推したパスワードをMD5値で検証しただけですね。
            パスワードが類推可能なのであれば、ターゲットへ類推したパスワードを入れてみれば検証できます。

            そもそも、漏れてしまった場合のセーフティーネットとして生パスワードではなく、MD5値を使っているのですから、その漏洩対策の一つに穴があったからと言って即「パスワードが漏れる脆弱性」というのは騒ぎすぎなのではないですか?
            多重に防護すればするほど安全性は向上しますが、その代わりコードは肥大しますからバグの侵入する可能性も増えます。
            10の安全性を確保した上で更に5の安全性を加えて、その5の部分に穴があっても10に落ちるだけで0まで落ちてしまうわけではありません。
            MD5値が漏れるという事象に対して直ちに「パスワードが漏れる脆弱性がある」というのは、安全性が15から10に落ちだだけなのに、0だって言ってるようなものです。
            無論15の安全性を目指しているのですから穴は塞ぐ必要はありますが、「パスワードが漏れる脆弱性がある」というのは誇張しすぎです。

            親コメント
            • 「MD5値からパスワードを復元できる」という前提が成り立てばその通りですが、そういう前提は成り立ちません。
              あなたの用語の使い方に従えば、それは間違いですね。 MD5値からパスワードを「検証」できるという前提が成り立てば「その通り」であるわけで、その前提は成り立ち得ます。
              は?何言ってるんですか? 類推可能なパスワードをMD5して該当MD5値と一致したら「復元された」と言ってますか?
              上に書いたとおりです。それを広い意味で「復元」と呼ぶか、狭い意味で「検証」と呼ぶか、用語の使い方次第です。
              パスワードが類推可能なのであれば、ターゲットへ類推したパスワードを入れてみれば検証できます。
              検証速度が著しく異なります。もしかしてあなたはいわゆる辞書攻撃というものをご存じないのでしょうか?
              そもそも、漏れてしまった場合のセーフティーネットとして生パスワードではなく、MD5値を使っているのですから、その漏洩対策の一つに穴があったからと言って即「パスワードが漏れる脆弱性」というのは騒ぎすぎなのではないですか?
              いいえ。MD5値であっても、それが漏れたら即、スラッシュドットには成りすましログインができますよ。パスワードを元に戻している場合。
              多重に防護すればするほど安全性は向上しますが、その代わりコードは肥大しますからバグの侵入する可能性も増えます。
              不当な一般化ですね。このケースはそのような性質のものではないでしょう。
              10の安全性を確保した上で更に5の安全性を加えて、その5の部分に穴があっても10に落ちるだけで0まで落ちてしまうわけではありません。 MD5値が漏れるという事象に対して直ちに「パスワードが漏れる脆弱性がある」というのは、安全性が15から10に落ちだだけなのに、0だって言ってるようなものです。
              あなたは問題を正しく理解していないようです。MD5値が漏れたらスラッシュドットのアカウントは乗っ取られます。(後に、パスワードを変更している場合にだけ漏れたことが判明したが、パスワードを元に戻している場合には乗っ取られる。)また、辞書攻撃の危険性があります。(これはBUGTRAQのやりとりの中にも書かれている。)
              無論15の安全性を目指しているのですから穴は塞ぐ必要はありますが、「パスワードが漏れる脆弱性がある」というのは誇張しすぎです。
              いいえ。上に書いたとおりです。
              親コメント
              • もしかしてあなたはいわゆる辞書攻撃というものをご存じないのでしょうか?

                もしかして私バカにされてるんだろうか?
                まぁACだからいいけど。

                私は、MD5値が漏れる事=パスワードが漏れる事、という論理が飛躍しすぎていると言ってるのであって、辞書攻撃で解読されてしまう程度のパスワードはユーザのパスワード管理の問題だと思います。

                そもそも、MD5値が漏れるのが「パスワード漏洩の脆弱性」と言うのであれば、APOPも「パスワード漏洩の脆弱性」を抱えている事になりますね。
                SlashcodeにAPOP以上のセキュリティを求めるあなたのバランス感覚がおかしいとは思いませんか?

              • もしかして私バカにされてるんだろうか?
                ご存じない(失念を含む)からとしか、あり得ないご発言があった(「ターゲットへパスワードを入れてみれば検証できます」の部分がそれに該当)ため、そのように書いたしだいです。違いますか?
                辞書攻撃で解読されてしまう程度のパスワードはユーザのパスワード管理の問題だと思います。
                最近の辞書攻撃の能力はかなりのものがありますが、それに絶えうるパスワードをつけている人がどれくらいいるかということと、いずれにしても、だからといってチャラになる話ではないでしょう。
                私は、MD5値が漏れる事=パスワードが漏れる事、という論理が飛躍しすぎていると言ってるのであって、
                他のサイトで同じパスワードを使っている場合の危険性については、二の次のものとして補足的に加えただけ(「にも警戒が必要で」という表現にとどめている)です。その部分だけ取り沙汰しているのはあなたですよ。
                SlashcodeにAPOP以上のセキュリティを求めるあなたのバランス感覚がおかしいとは思いませんか?
                MD5ハッシュによるパスワードの秘匿化方式を問題になどしていませんが?MD5値の漏れ方のことが話題となっているのです。APOPでMD5値が漏れるのはパケット盗聴されるときで、スラッシュドットにおける今回の件ではパケット盗聴は不要です。
                いいえ。MD5値であっても、それが漏れたら即、スラッシュドットには成りすましログインができますよ
                論理のすりかえですね。 私は「MD5値の漏洩」=「パスワードが漏れる脆弱性」というあなたの論理が飛躍しすぎている(=騒ぎすぎ)という話をしているのであって、スラッシュドットのアカウントが乗っ取られるとか、そういう事は一切言っていません。
                すりかえどころか、私が問題点として説明しているのは最初から「MD5値が漏れ、スラッシュドットに成りすましログインされる」危険性の話ですがよ。

                スラッシュドットへのログインに関しては、MD5値が漏れることとパスワードが漏れることは同等です。アカウントが乗っ取られることを一般読者にわかるようにパスワードが漏れたと表現しました。タレコミ文の中には実際にはMD5値であることは示してあります。

                親コメント
              • スラッシュドットへのログインに関しては、MD5値が漏れることとパスワードが漏れることは同等です。

                同等の効果が得られても同じ事ではありませんね。
                指摘する側が、そういう「センセーショナルな嘘(というか誇大表現)」をするから反発を受けるのでは?

                アカウントが乗っ取られることを一般読者にわかるようにパスワードが漏れたと表現しまし

              • なぜ「パスワードが漏れるリスク」というセンセーショナルな誇大表現をしますか?
                センセーショナルでも誇大でもありません。なぜなら、
                • もし、そのパスワードがスラッシュドットだけで使っているものなのなら、MD5値が漏れることとそのパスワードが漏れることは完全に同等です。

                • もし、そのパスワードがスラッシュドット以外でも使っているものなのなら、辞書攻撃によるパスワード解読の危険性についても触れる必要があるので、「アカウント乗っ取り」というタイトルでは不十分です。
                親コメント
              • もし、そのパスワードがスラッシュドットだけで使っているものなのなら、MD5値が漏れることとそのパスワードが漏れることは完全に同等です。

                だから「同等でも同じものじゃない」でしょ。
                なぜ「アカウント乗っ取りのリスク」という正確な表現ができるのに、「パスワード漏洩のリスク」という似ているけど嘘の表現をしますか?

                もし、そのパスワードがスラッシュドット以外でも

              • > あなたは「触れる必要がある」程度のものをタイトルに付けるのですね。
                一ユーザーの感想としては、
                「触れる必要がある」程度には思えないんですが・・・。

                それに、発言の中身が、明らかに少しずつズレていっています。
                問題のすりかえをしようとしているのも、明らかにあなた自身ですし。
              • だから「同等でも同じものじゃない」でしょ。
                同等ですし同じものです。(あなたの、その「同じもの」という言葉の使い方には、どのような意義があるのですか?)
                なぜ「アカウント乗っ取りのリスク」という正確な表現ができるのに、「パスワード漏洩のリスク」という似ているけど嘘の表現をしますか?
                同じものなのですから、正確な表現ですし、ましてや嘘の表現ではありません。
                どこが同じでないのですか?つまり、 スラッシュドットだけにしかそのパスワードを使わない人にとって、 「アカウントを乗っ取られる」と説明されるのと「パスワードが漏れる」と説明されるのとで、理解する内容において何が違いますか?そして、その違いを認識することにどのような意義がありますか?

                それどころか、むしろ、「アカウントを乗っ取られる」というタイトルでは、「セッションIDの漏洩が原因」と解釈される方が普通(世の中ではそのようなセキュリティホール(セッションID漏洩によるアカウント乗っ取り)が大半を占める)ですから、それでは危険度を低めに説明してしまう(セッションIDは使い捨てなので時間が経っていると乗っ取れないという点で脅威の現実性が低めになる)不適切なタイトルになってしまいます。

                つまり、この種の話題の伝達で正確さを期すには、できるだけ結果よりも原因に近い部分を説明するのが適切です。結果の方を書くと、その結果がもたらされる現実性の高さの情報が失われてしまいがちです。 しかし、原因に近い部分というのは、より技術的な説明となりがちなので、一般利用者にわかる範囲で最も原因に近い部分を示すことになります。これがこの種の話題の伝達の際にタイトルに選ぶべきポイントです。

                さらに言えば、タレコミではタイトルは「Slashcodeが一部ユーザのパスワードを漏らす」としていました。(「…リスク」という表現は編集担当者によるものです。) これは、パスワード(のMD5値)が実際に私のサーバに漏れてきていた事実を伝えることが、このタレコミの重要な要点のひとつであったからです。

                あなたは「触れる必要がある」程度のものをタイトルに付けるのですね。
                当然ですね。タイトルで触れる必要があるものなのですから、タイトルに付けるのは当然としか言いようがない。
                親コメント
              • どこが同じでないのですか?つまり、スラッシュドットだけにしかそのパスワードを使わない人にとって、「アカウントを乗っ取られる」と説明されるのと「パスワードが漏れる」と説明されるのとで、理解する内容において何が違いますか?そして、その違いを認識することにどのような意義がありますか?

                パスワードをたとえば「foo1234」としている人がいたとして、「foo1234

              • 他で使っているパスワードを知る大きな手がかりを与える事になります。
                「スラッシュドットだけにしかそのパスワードを使わない人にとって」と書いてるのが見えませんか?
                親コメント
              • だからさぁ固定文字列+いくつかの文字列というパスワードの付け方してる人って結構多いのよ。
                だから、その固定文字列部分が知られちゃうと、他で/.と違うパスワード付けてても類推できる確率が段違いに上がるでしょ。
                そういう付け方をしてる人がいるっていう実例はこのへん [srad.jp]見れ
              • そう。そのような場合があるので、まさに、「アカウントが乗っ取られる」ではなく「パスワードが漏れる」とした必然性があるわけです。
                親コメント
              • だからさぁ、APOPとかでMD5でハッシュされた値は生パスワードと同値ではなく、一定のセキュリティを備えているという了解があるでしょ。
                それなのに、あなたは生パスワードの漏洩とMD5値の漏洩は同値であると主張してる。
                くだらない言い訳を聞きたくないからあらかじめ書いとくけど、ここで言ってるのは/.にログインできてしまうというMD5値そのもので発生する脆弱性の事じゃなくてMD5値で生パスワードが漏洩するという事だけに付いて議論してるんだからね。

                で、APOPでも一定のセキュリティ機構として(暗黙の)了解されているMD5ハッシュが、何でSlashcodeに限って

              • 激しくループ中(w
              • APOPは毎回ハッシュ値が変わるけどslashcodeは変わらない
                だからハッシュ値が漏れただけでログインできるんだろ

                APOPとは全然違うことがわかってねーのか
                もしかして,APOPを知らずに言ってる?
              • ちゃんと嫁
                くだらない言い訳を聞きたくないからあらかじめ書いとくけど、ここで言ってるのは/.にログインできてしまうというMD5値そのもので発生する脆弱性の事じゃなくてMD5値で生パスワードが漏洩するという事だけに付いて議論してるんだからね。
              • スラッシュドットへのログインに関しては、MD5値が漏れることとパスワードが漏れることは同等です。
                同等の効果が得られても同じ事ではありませんね。
                まず、スラッシュドットへのログインに関することも関しないことも含め、今回の弱点の影響は、「(M+A): パスワードの MD5 の漏洩+アカウント乗っ取り可能」です。これを jbeef さんはタイトルの中で「(P): パスワードが漏洩」と表現しました。 #171458 [srad.jp] の AC さんは「(A): アカウント乗っ取り可能」と表現するべき、と主張しているのですよね。

                Slashcode に限らない一般論では、弱点の大きさは (P) ≧ (M+A) ≧ (A) です。

                (P) と (M+A) の差がどの程度かは、辞書攻撃の有効性によるでしょう。また、 (M+A) と (A) は、じつは Slashcode では同じことですが、一般にはアカウントを乗っ取ってもパスワードの MD5 がわかるとは限らないので差があります。

                この記事のタイトルに「パスワード漏洩」と書いてあるより「パスワードの MD5 の漏洩+アカウント乗っ取り可能」と書いてあるほうが、ぼくにはわかりやすかったと思います。

                しかし、タイトルに正確な情報をすべて詰め込むことはできないので、タイトルの表現が多少不正確だったり足りなかったりするのはしかたのないことです。どういうタイトルを付けるかは、タレコんだ人(それと最終的には投稿した人)の裁量でしょう。
                指摘する側が、そういう「センセーショナルな嘘(というか誇大表現)」をするから反発を受けるのでは?
                ベンダ以外によるセキュリティホールの公表を見て、弱点を実際よりも大きく見せるような書きかたをしていると感じたことは何度かあります。大きく見せたほうが自分がすごいことをしたように思ってもらえるからかもしれないし、大きく見せないと注目してもらえないからかもしれないし、別の理由かもしれません。

                今回 jbeef さんが、正確には (M+A) であるこの弱点を多少不正確でもいいから短く書こうとして、小さすぎる (A) という書きかたではなく大きすぎる (P) という書きかたを使った理由も、ぼくにはわかりません。いろいろ勘繰れば、妄想だけならいろいろ思いつくのですが、理由がわからない段階で、 jbeef さんの書きかたを「センセーショナルな嘘あるいは誇大表現」とまで呼ぶのは、それ自体も少々扇情的な表現ではないかと思います(jbeef さんのことを言っているのでなければ、ぼくの読み間違いです、失礼)。
                --
                鵜呑みにしてみる?
                親コメント
              • タイトルに正確な情報をすべて詰め込むことはできないので、タイトルの表現が多少不正確だったり足りなかったりするのはしかたのないことです。

                今回 jbeef さんが、正確には (M+A) であるこの弱点を多少不正確でもいいから短く書こうとして、小さすぎる (A) という書きかたではなく大きすぎる (P) という書きかたを使った理由も、ぼくにはわかりません。

                (ユーザ向けのニュースにおいて)小さすぎる書き方は、責任を問われかねないという点に注意してみてください。

                また、「P」は原因です(もたらされる脅威の)が、「A」は原因ではなく(もたらされる)脅威ですので、「A」を言っただけでは、それが常に起きることなのか、短期間に限り起きることなのかといったを言い表せていません。「P」が原因の「A」という脅威は、常に起きることですが、単に「A」と言っただけではそこまで表現できていません。このことについては既に#171634 [srad.jp] で述べてあります。

                親コメント
              • あなたは生パスワードの漏洩とMD5値の漏洩は同値であると主張してる
                そのような主張は一度もしていません。なぜなら、
                MD5値で生パスワードが漏洩するという事だけに付いて議論してるんだからね
                そのような議論をしていないからです。
                親コメント
              • (ユーザ向けのニュースにおいて)小さすぎる書き方は、責任を問われかねないという点に注意してみてください。
                一回のことだけ見れば、不正確だが大きすぎる書きかたをすれば、不正確で小さすぎる書きかたをするより、スラッシュドットはユーザに対して責任を果たしたと言えるでしょう。しかし、狼少年になってしまってはかえってマイナスになる可能性もあります。

                不正確に小さく書くのと不正確に大きく書くのとでどちらが読者のためなのかはそう簡単に判断できることではないと思います。
                また、「P」は原因です(もたらされる脅威の)が、「A」は原因ではなく(もたらされる)脅威です
                いいえ、ぼくはここでは「パスワードが漏洩する」ということ自体を脅威の一つと数えています。もちろん、なぜそれが脅威かというと、それによってスラッシュドットや他のシステムにログインするためのパスワードが類推されるなどの結果が引き起こされるからですが、だからといって「パスワードの漏洩」は脅威の原因であって脅威そのものではないなどと言い出すとわかりにくいので、「パスワードの漏洩」自体を脅威と呼んでいます。
                「P」が原因の「A」という脅威は、常に起きることですが、単に「A」と言っただけではそこまで表現できていません。
                (P) ならば (A) ですが、逆は成り立たないという意味ですね。それならその通りです。

                同様に、 (P) ならば (M+A) だし、 (M+A) ならば (A) ですが、ともに逆は一般的には成り立ちません。事実は (M+A) であり、それを (P) と表現することも (A) と表現することも不正確です。「(A) と表現することが不正確」というだけでは、タイトルに (P) を掲げるほうが (A) を掲げるよりもいい理由を説明したことになりません。

                いや、既に書いたように、不正確でもしかたがないとは思うんですよ。タイトルが長いのは読みにくいので。それに、大きすぎる書きかたを選んだのはユーザのためを思ってのことなのでしょう。

                でも、世の中には「ユーザのため」と言いながら自分のために弱点を大きく書く人がいてもおかしくありません。セキュリティホールの報告者がベンダから信用されない場合があるとしたら、原因の一つは、報告者が脅威を実際よりも小さく書くよりは大きく書くほうを選ぶところにあるのではないかと思っています。だったら小さく書けばいいかというとそうでもないので、解決するのは難しいですが。
                --
                鵜呑みにしてみる?
                親コメント
              • #171269から一連の議論(と勝手に私が思っていたもの)をしていたACです。
                はっきり言って脱力しました。
                私は最初の#171269から一貫してMD5値が漏れただけなのに「パスワードが漏れた」と表現するのは誇大だという話をしてた(つもりだった)のに...
              • >そのような主張は一度もしていません。なぜなら、
                >そのような議論をしていないからです。

                名言だね~。
                僕も使わせて貰うことにするよ(笑
              • パスワードのMD5値が「Refererから漏れた」事実があるから問題となっているのでは?
                生パスワードとは違うなんてことは当然誰もが理解しているでしょう。
                例えば/etc/shadowがWebサーバから見えるようになっていたとしても「MD5値だから針小棒大に騒ぐな」と言えますか?

                #jbeef氏ではないのでAC
              • > MD5値が漏れただけなのに「パスワードが漏れた」と表現するのは誇大だ
                という主張と、
                > MD5値とパスワードの区別も付かないヤツ
                という 同値 でない結論(感想)を、
                いかにも 同値 であるかのように扱う理由を教えてください。
              • 不正確に小さく書くのと不正確に大きく書くのとでどちらが読者のためなのか はそう簡単に判断できることではないと思います。
                私はタレコミの本文中で(また日記での補足において)正確に書きました。タ イトルについてが程度問題となることは、tixさんもおっしゃるとおりで、そ の上で述べたのが、タイトルにおける「(ユーザ向けのニュースにおいて)小 さすぎる書き方」の話をしたものです。

                また、「P」は原因です(もたらされる脅威の)が、「A」は原因ではなく(も たらされる)脅威です
                いいえ、ぼくはここでは「パスワードが漏洩する」ということ自体を脅威の一 つと数えています。
                それはそうです。原因が脅威という結果に結びつく限りすべての原因も脅威と 表現可能です。そういうことを言っているのではなく、Aを中心に見たときのA に対するPの関係が「原因」であると述べただけです。
                なぜそれを述べたのかというのは、それに続く部分を言うためです。つまり、 前のコメントにも書いた、脆弱性を語るときはできるだけ原因に近い事象を述べるのが良いという点を述べるためです。 原因方向の事象(極はexploitを示すこと)ほど厳密ですがユーザには理解が 困難です。結果方向の事象ほどユーザには理解しやすいですが厳密でなくなり ます。「A」を示すことは厳密さが足りないと言っているのです。何が足りな いと言っているかは以下に続く部分です。
                「P」が原因の「A」という脅威は、常に起きることですが、単に「A」と言っ ただけではそこまで表現できていません。
                (P) ならば (A) ですが、逆は成り立たないという意味ですね。それならその 通りです。
                そのようなことは書いてありません。(書いてあることだけを解釈する癖を付 けましょう。)
                何を言っているのかはそれに続く部分に書いてあります。tixさんならもう 一度読んでくださればおわかり頂けると思いますが、もう一度述べておくと、 Aと言っただけでは別のタイプの(別の原因の)脆弱性(例えばセッションID 盗用の場合は一定期間だけアカウント乗っ取りの脅威にさらされる)のことと 区別できていない(ので不十分な説明)ということを述べています。原因Pを 示せば、一時的ではなく常時Aの危険に晒されること(追記すれば「パスワードを変更している場合には脅威がない」ことも)を説明し切れる点で厳密性があることを 述べています。
                同様に、 (P) ならば (M+A) だし、 (M+A) ならば (A) ですが、ともに逆は一 般的には成り立ちません。
                その手の話をしているのではないのです。
                「(A) と表現することが不正確」というだけでは、タイトルに (P) を掲げる ほうが (A) を掲げるよりもいい理由を説明したことになりません。
                既に述べたように、ユーザ向けニュースにおいてタイトルで小さい方に倒すの には問題があるのです。もちろんそれは程度問題ですが、MD5値に対する辞書 攻撃の可能性(同値などとはもちろん言っていない)も付随しているので、 程度問題として妥当だと判断したということです。これはタレコミ時から十分 に考慮して書いたもので、ミスではありません。
                世の中には「ユーザのため」と言いながら自分のために弱点を大きく書く人が いてもおかしくありません。
                本文中の話とタイトルの話は区別して書いた方がよいです。
                親コメント
              • 例えば/etc/shadowがWebサーバから見えるようになっていたとしても「MD5値だから針小棒大に騒ぐな」と言えますか?

                その告知を「/etc/shadowが漏れた」あるいは「パスワードのMD5値が漏れた」という表現でするのであれば正当と思いますが、「

              • /etc/shadow が漏れたとき、辞書攻撃なしに、不正ログインすることはできませんが、
                スラッシュドットの場合は、辞書攻撃なしに、不正ログインことが出来ます。
                全く違う話です。
                親コメント
              • Aと言っただけでは別のタイプの(別の原因の)脆弱性(例えばセッションID 盗用の場合は一定期間だけアカウント乗っ取りの脅威にさらされる)のことと区別できていない(ので不十分な説明)ということを述べています。原因Pを示せば、一時的ではなく常時Aの危険に晒されること(追記すれば「パスワードを変更している場合には脅威がない」ことも)を説明し切れる点で厳密性があることを述べています。
                ならば、完全に間違いでしょう。今回 (A) が起きる原因は (P) ではなく、パスワードの MD5 が漏洩することなのですから。
                世の中には「ユーザのため」と言いながら自分のために弱点を大きく書く人がいてもおかしくありません。
                本文中の話とタイトルの話は区別して書いた方がよいです。
                そうですか? タイトルを大きく書いて必要以上に人目を引いたら、それはそれで問題のある書きかたです。今回、「必要以上」だったかどうかはよくわかりませんが。
                --
                鵜呑みにしてみる?
                親コメント
              • ならば、完全に間違いでしょう。今回 (A) が起きる原因は (P) ではなく、パスワードの MD5 が漏洩することなのですから。
                スラッシュドットへのログインに関しては、PもMも結果に与える影響が同等です。私は、Aをタイトルとすることの不十分さを説明するために上のことを書きました。何か間違っていますか?
                そうですか? タイトルを大きく書いて必要以上に人目を引いたら、それはそれで問題のある書きかたです。今回、「必要以上」だったかどうかはよくわかりませんが。
                短いタイトルに厳密さを求めるのには限界があるというというのはtixさんもおっしゃったではないですか。ユーザ向けには安全側に倒す必要があるという論点も出ました。なのに、それが「自分のために弱点を大きく書く」なのですか?失望しました。
                親コメント
              • スラッシュドットへのログインに関しては、PもMも結果に与える影響が同等です。私は、Aをタイトルとすることの不十分さを説明するために上のことを書きました。
                その2点は間違っていません。でも、 (P) と (M) はスラッシュドットへのログイン以外の点で影響が異なります。
                短いタイトルに厳密さを求めるのには限界があるというというのはtixさんもおっしゃったではないですか。
                そうです。だから、不正確になったのを責めるつもりはありません。でも、「(M+A) は正確であり、 (P) は不正確である」という点を jbeef さんが否定しているように見えたので、反論していました。それとも、その点は既に了承済みということでしょうか。
                ユーザ向けには安全側に倒す必要があるという論点も出ました。
                それは出ましたが、タイトルを事実よりも大きく書くことの問題点(そのうち信じてもらえなくなること)を無視していいほど重大なのでしょうか。公表者には、小さすぎる表現をするリスクと大きすぎる表現をするリスクの二つの間でバランスを取るという難しい作業が求められているのだと思います。 jbeef さんは、「タイトルに (A) と書くよりも (P) と書いたほうがよい」というのを盲目的に信じていませんか?
                --
                鵜呑みにしてみる?
                親コメント
              • タイトルを事実よりも大きく書くことの問題点(そのうち信じてもらえなくなること)
                読者が信じてくれなくなるというだけでなく、クレーマーとして開発者から取り合ってもらえなく可能性もありますね。
              • #172257のACさんが提示した(今回の件とは別の)ある状況の「例」だと「どう思うか?」という問いかけに対して、#172438のACさんは「私はそういう状況だとこう考える」という答えをしているのに、なぜ今回の件に強引に結びつけようとしますか?
                自分が中心にいないと満足できない構って君?
              • jbeefってもともとそういう奴だ。
                (本人に自覚がないらしいので始末におえない。)
              • 「(M+A) は正確であり、 (P) は不正確である」という点を jbeef さんが否定しているように見えたので

                というか、タレ込み時点では「(P)は不正確である」という認識は無かったのでは?
                確かにタイトルは字数の制限もあるので、「(M+A)では長すぎるので(P)とした」でも許容範囲ぎりぎりいっぱいだとは思いますが、多くの字数を割いて説明できるはずのタレ込み本文でも

                私のサーバのアクセスログを「grep slashdot | grep passwd」してみたところ、ユーザ名とパスワードを含むRefererが1件見つかった

                と、(M)ではなく(P)だ

              • #171458 と同じかたですか? 同じでも同じでなくてもいいのですが、みんな匿名だと結局何人で議論しているのかわからず気になるので、もしよければ教えてください。
                その初出の部分で「(のMD5値)」と括弧書きで書かれているという点こそ、まさにjbeefさんが「(P)==(M)である」と認識していた(=(P)が不正確な表現であるとは認識していなかった)という証左ではないでしょうか?
                証拠かどうか、と言われると、それ一つだけで証拠にはならないような気がしますが、ぼくがその部分の括弧書きを見たとき、 jbeef さんは正しく理解しているのだろうか、と不安を覚えたのは事実です(ぼくはプログラマではありません……念のため)。
                --
                鵜呑みにしてみる?
                親コメント
              • #171458さんとは別人です。私が書いたのは#173647,#172697, #172510ぐらいかな?

                多少流れがわかりやすくなりました。どうも。

                私はいわゆる「商業プログラマ」ですが、「Re:私刑、ですか……」という方も興味深いですね。

                たくさんのコメントをすべて読んではいませんが、このコメントは読んでみました。たしかに面白いです。ソフトウェアの開発者と弱点の発見者のコミュニケーションがどうしてうまくいかないかを説明できる可能性がありますね。

                でも、その後のコメントで、やっぱり「ハッカーコミュニティとセキュリティコミュニティの対立」(?)という雰囲気のフレームが起きているようなので、悲しくなります。

                なお、ぼくは商業的なソフトウェアの弱点を発見したり指摘したりしたことはありませんが、フリーか商業的かで指摘の方法を大きく変えることはないだろうと想像しています。

                ぼくは今までにフリーソフトのセキュリティホールを少しだけ指摘したことがありますが、いずれも、無視されたり、不完全な修正にとどまったりしています。修正されないソフトは使わなければ個人的にはそれで済むので、社会的な責任を考えないようにして黙っていますが、もう少しぼくにコミュニケーションの能力があれば修正してもらえたのかもしれないと思うと悔しいです。

                そんなぼくが書いても説得力がありませんが、ぼくがソフトウェアの弱点を作者に報告するときには、報告を読んだ作者が「直そう」と思ってくれるような報告を書くことを心掛けています。これが当然と思う人は幸せなのですが、ぼくの場合、ともすれば、作者にぼくの力を見せ付けてやろうとか、要らぬ考えが浮かんでくるので、そういう邪念を抑えて報告を書くのは労力を要します。

                例えば、「こんな弱点だらけのソフトウェアを何の警告もなく公表しているようでは、あなたの正義感や開発者としてのセンスを疑います」のようなことを書きそうになったこともあります。こんなことを書いても、作者はやる気を出してはくれないでしょう。怒って読むのをやめるか、悲しんでソフトウェアを書くのをやめるか、いずれにしても弱点は修正されない可能性が高いです。

                何が言いたいかというと、問題が理想的に解決に至るためには開発者がやる気を出してくれることが必要であり、開発者がやる気を出してくれるような報告を書くべきだということです。この点では、べつにフリーか商業的かなんてあまり関係がないと思います。

                ただ、商業的なソフトウェアの場合「こんなソフトウェアで金を取るなよ」とか考え始めるとまたいろいろな邪念が出てきて、まともな報告(報告を読んだ開発者が「直そう」と思ってくれるような報告)がしづらいだろうとは思います。

                でも実際の所、フリーの場合だと自分で「公表する」と決めたら即公表できますが、商業プログラマなんて「公表するかしないか」という意思決定に直接関与できないので、ツラい面もありますね。

                商業的なプロジェクトであっても、「公表するかしないか」の意思決定をする人がセキュリティに詳しければ、すべて自分でやらなければならない個人プログラマよりもかえっていい行動が取れると思うのですが、難しいのでしょうね……。

                フリーソフトウェアであっても、多人数のプロジェクトだと、「弱点を公表するかどうかの意思決定に関われない開発者」という存在が出てくると思うのですが、そちらでも同じように辛い思いをしている人がいるのか、気になります。

                --
                鵜呑みにしてみる?
                親コメント
              • その2点は間違っていません。でも、(P) と (M) はスラッシュドットへのログイン以外の点で影響が異なります。
                そんなことは当たり前です。だから、最初の時点で #171462 のように場合分けして書いているわけです。
                それから、元の文脈で話をしていただけませんか?元はこうですよ。
                Aと言っただけでは別のタイプの(別の原因の)脆弱性(例えばセッションID 盗用の場合は一定期間だけアカウント乗っ取りの脅威にさらされる)のことと区別できていない(ので不十分な説明)ということを述べています。原因Pを示せば、一時的ではなく常時Aの危険に晒されること(追記すれば「パスワードを変更している場合には脅威がない」ことも)を説明し切れる点で厳密性があることを述べています。
                ならば、完全に間違いでしょう。今回 (A) が起きる原因は (P) ではなく、パスワードの MD5 が漏洩することなのですから。
                スラッシュドットへのログインに関しては、PもMも結果に与える影響が同等です。私は、Aをタイトルとすることの不十分さを説明するために上のことを書きました。
                その2点は間違っていません。でも、(P) と (M) はスラッシュドットへのログイン以外の点で影響が異なります。
                これでもtixさんは正常な議論をしていると思いますか? 1個前のコメントだけを解釈してコメントしていませんか?
                公表者には、小さすぎる表現をするリスクと大きすぎる表現をするリスクの二つの間でバランスを取るという難しい作業が求められているのだと思います。
                ちなみに、この件で私は「公表者」ではありませんよ。ニュースのタレコミ者です。スラッシュドットがいつもそうであるように、どこかの一次情報源をきちんと参照した上で、二次情報源として紹介しているだけです。
                私が一時情報源となる場合には、正確さが要求されるだけに、紙面の限られるような場には書きません。
                ちなみに、一次情報源のタイトルは「slashdot / slashcode disclosing passwords」でした。
                jbeef さんは、「タイトルに (A) と書くよりも (P) と書いたほうがよい」というのを盲目的に信じていませんか?
                「と書いた方がよい」の根拠を論理的に説明しているのに、 「盲目的に信じていませんか?」とおっしゃるのですか。 #172307でせっかく書いた説明はシカトしておいて。
                親コメント
              • その初出の部分で「(のMD5値)」と括弧書きで書かれているという点こそ、まさにjbeefさんが「(P)==(M)である」と認識していた(=(P)が不正確な表現であるとは認識していなかった)という証左ではないでしょうか?
                そんなバカな。同値(前提なしに)と認識していたら括弧書きをしないでしょう。
                括弧書きというのは通常「無くても意味は通じるが、詳しく説明するため」に付けるものであって「不正確な表現を訂正するため」に使われる記法ではありません。
                まさに、詳しく説明するために付けたものだし、人によっては無くても意味が通じるでしょう。なぜなら、これはよそで話題になっていたことのタレコミであって、一時情報源をあたれば正確なことが書いてあるし、タレコミ文にも、「というリンクがある。そのURLにはユーザ名とパスワード(のMD5値)」というように、自分で実物を確認する方法を紹介してあるわけです。
                親コメント
              • 正常な議論って難しいですね。

                これでもtixさんは正常な議論をしていると思いますか?

                jbeef さんは

                スラッシュドットへのログインに関しては、PもMも結果に与える影響が同等です。私は、Aをタイトルとすることの不十分さを説明するために上のことを書きました。

                と書かれていますが、その部分では本当に文字通り、 (A) をタイトルとすることの問題点を書いていただけなのですね。わかっていませんでした。すみません。

                (A) が不十分なのは承知しています。 (A) が不十分な理由を、ぼくは「今回の弱点の被害は (M+A) だが、 (A) だからといって (M+A) とは限らないから」つまり「(A) だけでは説明できない被害があるから」と思っており、 jbeef さんは「(A) は弱点により引き起こされる結果 (の一つ) でしかないから」(強調部はぼくが補った)と思ってみえるようですが、この理由の差は表面的なもので、議論には関係ないと思います。

                (P) をタイトルにすることの問題点はどうなってしまったのでしょう。

                弱点を (A) だと述べることは弱点を過小に評価しています。それと対称的に、 (P) は過大に評価しています。 (A) が過小でタイトルとして不適格なら、 (P) は過大であってタイトルとして不適格です。

                だから過小でも過大でもないタイトルを付けるなど無理だ、というなら、タイトルは過小でも過大でもいいのです。本文で正しく説明すればいいのだから。あるいは、スラッシュドットへのタレコミなど、正確でなくたっていいとも思います。正確でなくて重要なことなら、誰かが指摘するので(希望的観測?)。

                でも、 jbeef さんは過大なほうに倒そうとなさっているようです。 jbeef さんは、過大な表現ばかり使うことで、報告を読んだ人に信用してもらえなくなるリスクをどう考えてみえるのですか?

                ちなみに、一次情報源のタイトルは「slashdot / slashcode disclosing passwords」でした。

                知りませんでした。これが理由でタイトルを (P) としたというなら、理解できます。でも、一般論として「過小に書くより過大に書いたほうがまだましだ」と思ってみえるのなら、それには同意できません。

                「と書いた方がよい」の根拠を論理的に説明しているのに、「盲目的に信じていませんか?」とおっしゃるのですか。 #172307でせっかく書いた説明はシカトしておいて。

                #172307 を書いていただいたことは感謝していますが、 #172307 は反論としては不十分です。ぼくは「小さく書くのと大きく書くのは両方とも問題であり、どちらがいいとは一概に言えない」と主張しています。大きく書くことが問題であることの根拠は #172228 [srad.jp] にも一言だけ書きました。 jbeef さんは「小さく書くのは問題だ」とばかりおっしゃって、「大きく書くことも問題だ」という点をどう考えているのか書いていただくことができずにいます。その様子から、考えるのを拒んでいるという印象を受けたので、「盲目的に」と表現してしまいました。お気に障ったらごめんなさい。

                ちなみに、この件で私は「公表者」ではありませんよ。ニュースのタレコミ者です。

                「公表者」というのを「弱点を発見した人」や「誰かの見つけた弱点を Web で告知する人」(スラッシュドットでは投稿というプロセスが挟まりますが、基本的にはタレコミ者もこの範疇だと思って書いています)などを総称する言葉として使っていました。説明なしに使ってしまったのはわかりにくかったかもしれません。

                --
                鵜呑みにしてみる?
                親コメント
              • もしかしてtixさんは、一般論をなさっているのですか?
                私が述べていることは、私が今回書いたタレコミという特定の事例についてのものです。
                親コメント
              • #174988での質問:「もしかしてtixさんは、一般論をなさっているのですか? 」にお答え頂けなかったので、答えはyesであると仮定して、質問の意図を説明しておきます。

                tixさんは、

                jbeef さんは「小さく書くのは問題だ」とばかりおっしゃって、「大きく書くことも問題だ」という点をどう考えているのか書いていただくことができずにいます。
                と述べているわけですが、一般論として、大きく書くことがもたらす問題点が存在し得ることは、当たり前のことで、誰にも疑う余地がないでしょう。しかし、ここではそのような議論をしているのではありません。私の今回のタレコミが適切であったかという個別論をしているのです。 私のタレコミの問題点が指摘されたからこそ、そのように書く必要性があったことを説明することで、このケースでの妥当性を説明しているわけです。そのような状況において、
                どう考えているのか書いていただくことができずにいます。
                という理由によって、
                その様子から、考えるのを拒んでいるという印象を受けたので、「盲目的に」と表現してしまいました。
                と言われても困ります。 tixさんがどうやら個別論を無視して一般論を展開しているらしいという疑いを持ったのは、
                #172307 を書いていただいたことは感謝していますが、 #172307 は反論としては不十分です。ぼくは「小さく書くのと大きく書くのは両方とも問題であり、どちらがいいとは一概に言えない」と主張しています。
                という部分からです。元々「一概に言う」などという議論は行われていないのです。#172307で述べたのは、このケースにおいての必要性の理由を述べたものです。
                ちなみに、この件で私は「公表者」ではありませんよ。ニュースのタレコミ者です。
                「公表者」というのを「弱点を発見した人」や「誰かの見つけた弱点を Web で告知する人」(スラッシュドットでは投稿というプロセスが挟まりますが、基本的にはタレコミ者もこの範疇だと思って書いています)などを総称する言葉として使っていました。説明なしに使ってしまったのはわかりにくかったかもしれません。
                それで、前者(弱点を発見した人)と後者(タレコミ者)は、この問題において同格なのですか?あなたが引用からわざわざ削除なさった前回の私の説明を再掲しておきます。なぜ削除してコメントなしなのですか?
                ちなみに、この件で私は「公表者」ではありませんよ。ニュースのタレコミ者です。スラッシュドットがいつもそうであるように、どこかの一次情報源をきちんと参照した上で、二次情報源として紹介しているだけです。 私が一時情報源となる場合には、正確さが要求されるだけに、紙面の限られるような場には書きません。
                親コメント
              • 一般論か個別論かという分類はよく理解できません。

                ずっと書いていることですが、 jbeef さんは、弱点を大きく書くことのリスクを過小に評価していると思います。

                今回の jbeef さんのタレコミは、一次情報と同じくらいの重み(効果? 権威?)があったと思います。「パスワード自体は漏れないのに、パスワードが漏れるかのように大袈裟に書くな」という非難はその表れかもしれません。二次情報であって許される文章の量が限られているからといって甘く考えず、注意して書いていただければよかったと思います。文章の量が限られていても、できることはあったはずです。

                ぼくは、タレコミ文を読んだ後で事実を知って「また大袈裟に騒いでいるのか」と思ったわけです。間違えていたならともかく、こんなことを繰り返していると、信頼できなくなるように思います。これがぼくだけのことなら、全体から見ればどうでもいい話ですが、多くの人の信頼を失うようなことにはなってほしくありません。
                --
                鵜呑みにしてみる?
                親コメント
              • 一般論か個別論かという分類はよく理解できません。
                あなたが前回述べた「一概に言えない」などの主張が「一般論」で、 私の今回のタレコミ文が適切だったかどうかを論ずるのが「個別論」です。その違いが理解できないとおっしゃるのですか?

                以下はようやく個別論について述べて頂けたようですが、

                二次情報であって許される文章の量が限られているからといって甘く考えず、注意して書いていただければよかったと思います。文章の量が限られていても、できることはあったはずです。
                私が注意せずに書いたのだとおっしゃるわけですね。私は注意して書いたと証拠を挙げて述べてきました。 これまでもずっとチャンスがあったにもかかわらず、あなたは一度も代案を示そうともしてこなかった(つまり、この件でのタイトルの難しさを理解している)くせに、よくもまあそう言えますね。
                ぼくは、タレコミ文を読んだ後で事実を知って「また大袈裟に騒いでいるのか」と思ったわけです。
                一次情報源のタイトルを知らなかった程度に読んだだけ(#174549参照)なのにですか(まあ、そういう読者がいるというのは、スラッシュドットの全ての記事に存在する問題点ではあるのですが)。また、私はタレコミ文の冒頭で、以下のようにわざわざリンクを設けて、自分で何が漏れるのかを確認できるように工夫もしたのですよ。 そういうのも確かめなくて「ぼくは、タレコミ文を読んだ後で事実を知って」なのですね。
                スラッシュドットのユーザページ [srad.jp]にある「パスワード」というリンク [srad.jp]の先には、
                このリンクをクリックすると,自動的にログインすることができます.クリックした先のページをブックマークしてください.全く安全ではないですが,とても便利です.
                というリンクがある。そのURLにはユーザ名とパスワード(のMD5値)が含まれているので、アクセスするだけでログインできるわけだが、
                親コメント
                • 元報告に「パスワード」と書かれていたので、「パスワード」と信じて間違いに気付かないほど無能だった
                • 「パスワードのMD5値」の事を「パスワード」と書けば正しく皆に伝わると考えるほど無能だった
                • 未だに「パスワードのMD5値」を「パスワード」と書くのは正しいと信じるほど無能である
                の、どれ?
                2番目が最も近いですが、それも誤りです。正しくは、
                • 「パスワードのMD5値」の事を「パスワード」とタイトルに書いても、本文中でちゃんと「そのURLにはユーザ名とパスワード(のMD5値)が含まれているので」と書き、冒頭で、実際に問題のURLがどのようなものであるかを読者が自分で調べられるようにリンクを設けて便宜を図り、一時情報源へのリンクも明示しておけば、正しく皆に伝わると考えた。
                といったところです。
                だけど、「セキュリティ専門家」は「無能を無能と言うのは正しい」という文化のようだから、あなたがたの文化に合わせてるだけ。
                私は「無能を無能と言うのは正しい」などと一度も言っていませんよ。まさに不当な誹謗、罵倒発言ですね。反論のために必要なことなのですか?
                親コメント
              • ぼくは今回のタレコミのタイトルや本文(本文もです)の書きかたが適切であったかどうかだけを議論しています。ただし、それが今後に与える影響も視野に入れています。また、今回の書きかたの裏に、弱点の影響を大きく書いて目立ちたいという心理があるのではないかと疑っていました。その疑念のせいでまっとうな議論ができなかったとしたら、ぼくのせいです。お時間をとらせてすみません。

                ぼくがタレコミの文章を読んで呆れたのを、 jbeef さんがぼくの側の問題だと思うなら、もうぼくのほうに議論を続ける理由はありません。

                反論するのも疲れました。 jbeef さんがお忙しい中ぼくのコメントを読んで反応してくださるのは嬉しいのですが、ぼくは jbeef さんのおっしゃることに反論している時間的・精神的余裕がありません。お付き合いいただきありがとうございました。
                あなたは一度も代案を示そうともしてこなかった(つまり、この件でのタイトルの難しさを理解している)
                タイトルは「Slashcode で一部ユーザのログイン用 URL が referer として漏洩」くらいでしょうか。本文中では「パスワード(の MD5)」という曖昧な括弧の使いかたを避けるため、危険の内容を一言で「ログイン用 URL の漏洩」と表現し、それによって「アカウントが乗っ取られる」「パスワードの MD5 が漏洩する」という二つの結果が生じると書けば多少わかりやすくなりそうです。

                この書きかたにもいろいろ問題点はあって、まず「ログイン用 URL」では何のことかわからないので本文中で説明する必要があるし、タイトルが長すぎるかもしれません。結局「ログイン用 URL の漏洩」によって何が起きるかはタイトルだけではわからないわけですし。いいことなし? まあ一つの案として。
                --
                鵜呑みにしてみる?
                親コメント
              • 今回の書きかたの裏に、弱点の影響を大きく書いて目立ちたいという心理があるのではないかと疑っていました。その疑念のせいでまっとうな議論ができなかったとしたら、ぼくのせいです。
                いまさら、こんな内容のことを、jbeefという仮名で、ここに書くことに「目立ちたい」という心理があるわけがないではないですか。 発見者でもないのですよ。BUGTRAQで報告された情報を単に紹介するなんてのは、二番煎じであって、誰にでもできることであって、私の場合にはむしろ恥ずかしい奴と言われかねないことです。しかし、私の立場とは別に、BUGTRAQに報告されるもののいくつかは、誰かによって、日本語で日本の皆さんに解説されることが必要だと考えています。そのため、jbeefという仮名を使うことが妥当とされているこの場で、永らくそうした活動をしてきました。必要もないのにAnonymous Cowardを使うのは避けるべきだと考えているので、同じ仮名で書いているだけです。
                この書きかたにもいろいろ問題点はあって、まず「ログイン用 URL」では何のことかわからないので本文中で説明する必要があるし、タイトルが長すぎるかもしれません。結局「ログイン用 URL の漏洩」によって何が起きるかはタイトルだけではわからないわけですし。
                (最初からそのように個別の議論していただければよかったのです。なぜそれを避けましたか?)

                そして、ご自身、お気づきのように、このケースではそんなに簡単に完璧なタレコミ文を書くことはできないものでした。もちろん若干の改善方法はあったでしょう。しかし、「注意せずに書いた」と非難されるほどのものではないと考えているということです。

                親コメント
              • しつこい話になるけど、ほんと
                パスワード(のMD5値)
                この表現はとにかくおかしいってコトだと思うんですが...。
                スラド的な言い回し(って勝手な想像だけど)なら、本文中に

                タイトルではパスワードと書いたが、実際にはパスワードのMD5値である。しかしその悪用のされ方によってはパスワードが漏れることと同じくらいの威力があるともいえる。/.J諸兄も注意されたし。

                うーん、こんな感じかなあ。まあこんなフーなのが書いてあれば良かったのではなんて思ったりしますた。
                親コメント
            • > > 誤解があるようですが、私は叩くということをしていません。
              > あなたは他人の痛みがわからない人なんですね。
              関係者ですか???

              普通に見て叩いているようには見えませんよ。
            • おもしろかったのでコメント

              パスワードによっては短時間で復元されることがあります。

              は?何言ってるんですか?
              類推可能なパスワードをMD5して該当MD5値と一致したら「復元された」と言ってますか?
              それはMD5値を復元したのではなく、類推したパスワードをMD5値で検証した

「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常

処理中...