パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Slashcodeに一部ユーザのパスワードが漏れるリスク(対処済)」記事へのコメント

  • タレコミ人です。この件は、タレ込んだ後にBUGTRAQの方で進展がありました。その 進展を踏まえた補足を日記に書いておきました [srad.jp]。

    ところで、「注意はよく読みましょう部門」とのことですが、その「注意」というのは、「全く安全ではないですが,とても便利です」のことでしょうか?

    タレコミにも書きましたが、BUGTRAQで報告されたときの、slashcodeのメンテナの第一声は、「きちんと警告している」という弁明でした。原文 [securityfocus.com] では、

    ...you were impatient, I guess. But the explanation is simple. Our users access that link from these pages: (略)
    which inform him

    • ちなみに同メンテナは、 以前書いたように [srad.jp]、XSS脆弱性を指摘されたときにも、 「これはバグではあるが、exploitが無いので、脆弱性ではない。」と誤った反論をしていたことがあります。

      一般に、脆弱性の指摘を受けたときは、問題ないとする反論をまず考えようとするのではなく(ついそうしてしまうのはわかる

      • by Anonymous Coward
        粘着して叩いてる暇があったら仕事しろよ。
        それとも仮名で叩くのがAISTの仕事か?

        そもそもあんたらセキュリティゴロが些細な問題でこっぴどく叩きまくるから、とりあえず防衛本能として「問題ない」と言ってしまうんじゃないか?
        今回の件も「パスワードが漏れる」じゃなくて、「誤入力した(ログインできない)パスワードのMD5値が漏れる」だろ?針小棒大に騒ぎすぎだよ。それともMD5値から元のパスワードを復元する方法でも見つけたの?それは素晴らしい!!

        問題を見つけても、鬼の首を取ったように騒ぎ立てるんじゃなくて、メンテナが対処を取りやすいように、外部の騒

        • 誤解があるようですが、私は叩くということをしていません。

          今回の件も「パスワードが漏れる」じゃなくて、「誤入力した(ログインできない)パスワードのMD5値が漏れる」だろ?

          誤入力ではなく一度変更している場合です。再び元に戻している場合には、変更が必要です。また、他のサイトで同じパスワードを使用している場合にも警戒が必要で、これらのことは知らされるべきです。

          それともMD5値から元のパスワードを復元する方法でも見つけたの?それは素晴らしい!!

          パスワードによっては短時間で復元されることがあります。

          問題を見つけても、鬼の首を取ったように騒ぎ立てるんじゃなくて、

          私は問題を見つけたのではありません。

          • 誤解があるようですが、私は叩くということをしていません。

            あなたは他人の痛みがわからない人なんですね。

            また、他のサイトで同じパスワードを使用している場合にも警戒が必要で

            「MD5値からパスワードを復元できる」という前提が成り立てばその通りですが、そういう前提は成り立ちません。

            パスワードによっては短時間で復元されることがあります。

            は?何言ってるんですか?
            類推可能なパスワードをMD5して該当MD5値と一致したら「復元された」と言ってますか?
            それはMD5値を復元したのではなく、類推したパスワードをMD5値で検証しただけ

            • 「MD5値からパスワードを復元できる」という前提が成り立てばその通りですが、そういう前提は成り立ちません。

              あなたの用語の使い方に従えば、それは間違いですね。 MD5値からパスワードを「検証」できるという前提が成り立てば「その通り」であるわけで、その前提は成り立ち得ます。

              は?何言ってるんですか? 類推可能なパスワードをMD5して該当MD5値と一致したら「復元された」と言ってますか?

              上に書いたとおりです。それを広い意味で「復元」と呼ぶか、狭い意味で「検証」と呼ぶか、用語の使い方次第です。

              パスワードが類推可能なのであれば、ターゲットへ類推

              • もしかしてあなたはいわゆる辞書攻撃というものをご存じないのでしょうか?

                もしかして私バカにされてるんだろうか?
                まぁACだからいいけど。

                私は、MD5値が漏れる事=パスワードが漏れる事、という論理が飛躍しすぎていると言ってるのであって、辞書攻撃で解読されてしまう程度のパスワードはユーザのパスワード管理の問題だと思います。

                そもそも、MD5値が漏れるのが「パスワード漏洩の脆弱性」と言うのであれば、APOPも「パスワード漏洩の脆弱性」を抱えている事になりますね。
                SlashcodeにAPOP以上のセキュリティを求めるあなたのバランス感覚がおかしいとは思いませんか?

              • もしかして私バカにされてるんだろうか?

                ご存じない(失念を含む)からとしか、あり得ないご発言があった(「ターゲットへパスワードを入れてみれば検証できます」の部分がそれに該当)ため、そのように書いたしだいです。違いますか?

                辞書攻撃で解読されてしまう程度のパスワードはユーザのパスワード管理の問題だと思います。

                最近の辞書攻撃の能力はかなりのものがありますが、それに絶えうるパスワードをつけている人がどれくらいいるかということと、いずれにしても、だからといってチャラになる話ではないでしょう。

                私は、MD5値が漏れる事=パスワードが漏れる事

              • スラッシュドットへのログインに関しては、MD5値が漏れることとパスワードが漏れることは同等です。

                同等の効果が得られても同じ事ではありませんね。
                指摘する側が、そういう「センセーショナルな嘘(というか誇大表現)」をするから反発を受けるのでは?

                アカウントが乗っ取られることを一般読者にわかるようにパスワードが漏れたと表現しまし

              • なぜ「パスワードが漏れるリスク」というセンセーショナルな誇大表現をしますか?

                センセーショナルでも誇大でもありません。なぜなら、

                • もし、そのパスワードがスラッシュドットだけで使っているものなのなら、MD5値が漏れることとそのパスワードが漏れることは完
              • もし、そのパスワードがスラッシュドットだけで使っているものなのなら、MD5値が漏れることとそのパスワードが漏れることは完全に同等です。

                だから「同等でも同じものじゃない」でしょ。
                なぜ「アカウント乗っ取りのリスク」という正確な表現ができるのに、「パスワード漏洩のリスク」という似ているけど嘘の表現をしますか?

                もし、そのパスワードがスラッシュドット以外でも

              • by Anonymous Coward on 2002年09月25日 1時52分 (#171535)
                > あなたは「触れる必要がある」程度のものをタイトルに付けるのですね。
                一ユーザーの感想としては、
                「触れる必要がある」程度には思えないんですが・・・。

                それに、発言の中身が、明らかに少しずつズレていっています。
                問題のすりかえをしようとしているのも、明らかにあなた自身ですし。
                親コメント

人生の大半の問題はスルー力で解決する -- スルー力研究専門家

処理中...