「「宅ふぁいる便」のユーザー情報漏洩、漏洩したパスワードは暗号化されていなかった」記事へのコメント

昔の2chを思い出す

[Anonymous Coward]

この件と直接関係はないと思うけど、昔はパスワードハッシュへの理解って低かったよね。昔々の2chに「パワハラしたらエンジニアが辞めちゃって、顧客から顧客情報の問い合わせがあって、問い詰めたけど暗号化を解除する方法をどうしても吐かない、解読不可能だと嘘をついている。誰か手伝ってくれ」って大意の質問があったなあ。

スレ住民がエスパーしてその「顧客情報」はパスワードのことで、「解読不可能な暗号」はハッシュ化のことで、つまり解読は不可能だけどする必要もなく、単に古いパスワードを消して再登録させればいいんだ、新しいエンジニアを探してそう依頼しろとこんこんと説明して何とか納得させてた覚えがある。

それで納得しない人がいると、では平文保存、となっちゃうのかなあ。

Re:

[shesee (27226)]

昔はハッシュ関数でもなくDESや3DESだった。(未だにパスワード8文字制限の所があってげんなりする)
今なら数秒で解読できるけど、まだそういう昔の方法や弱いハッシュ使っているところも多いのだろうな

Re:昔の2chを思い出す

[Anonymous Coward]

実際、ADですら「復元可能な形でパスワードを保存」なんてオプションがあるくらいだから、
ハッシュでは対応できない認証システムは山のようにある。

大企業のイントラで導入されてる「統合認証基盤」はだいたいそう。

Re:

[Anonymous Coward]

大企業のイントラで導入されてる「統合認証基盤」はだいたいそう。

適当こくな、あれはSAMLとかOAuthとか使ってるから復元可能なパスワードなんか持つ必要ないぞ。

Re:

[Anonymous Coward]

まあPeingの事例でわかるようにバカは常に想定の斜め上を行くんだがな

Re:

[Anonymous Coward]

古いところだと、SASLのDIGEST-MD5のような、復元可能でないといけない認証方式が生き残っているのではないでしょうか？

Re:

[Anonymous Coward]

古いところにそういうのが残ってる可能性はあるが、どう考えても「だいたいそう」は言い過ぎ。