「富士通の情報共有ツール「ProjectWEB」へ不正アクセス。国交省や外務省などから情報流出」記事へのコメント

もう１０年前の話しだけど

[Anonymous Coward]

ProjectWEBってIDとパスワードだけで入れると記憶してるんだけど
あーゆーシステムってIDとパスが流出しちゃうとそこからダダ漏れになるのよね。
せめていつもと違う端末からのアクセスがあればメールで一報入れるような仕組みでもあればよかったのに。
これ使ってた自分を含めた協力会社の人たちは「危なっかしいよねー」とか言うてたけどプロパーさんたちは聞く耳持たずだし
「だったらお前改良しろよ。ただし無料でな」的な返答はあった気がするー・・・
もう１０年くらい前の話しだから忘れちゃったけどさ。

Re:

[Anonymous Coward]

だからパスワードの定期変更をですね

Re:

[Anonymous Coward]

３年前ぐらいの話だけど、パスワードは90日に一度変更が強制される、末尾の記号だけ変更してローテしてたから意味ない。

Re:

[Anonymous Coward]

パスワード使いまわしの問題も、パスワード変更強制の問題も、そもそもユーザーにパスワードを決めさせるということ自体が諸悪の根源なんだよな。
パスワードはランダムに自動発行しかできないようにするのが得策。

Re:

[Anonymous Coward]

それやったら付箋にパスワード書いて貼られるんだけどな。あと管理者がパスワードを知ってしまう問題も大きい。

最悪中の最悪の悪手なので10年以上前に初期パスワードは任意のものに変更できるのが当然になった。

Re:

[Anonymous Coward]

> あと管理者がパスワードを知ってしまう問題も大きい。

ランダムに発行されたパスワードを管理者が把握してて何か問題あるか？

Re:

[Anonymous Coward]

管理者がユーザになりすまして不正を働ける時点で大問題。
何のために一方向性ハッシュで暗号化してると思ってるんだ？

Re:もう１０年前の話しだけど

[Anonymous Coward]

IPA ISEC セキュア・プログラミング講座 [ipa.go.jp]

たとえば，会員サービスのアプリケーションソフトウェアが画面１のように会員情報テーブル内にパスワードをクリアテキスト（そのまま読めるデータ）で保存していたとする。データベースの保守作業で使われたダンプリストが不用意に捨てられたり，バックアップテープが間違って持ち出されるなど，なんらかの事故や盗難などで漏洩した場合，テーブルに書かれているユーザID，パスワードをそのままの形で不正行為者が利用することができ，大変危険である（図１）。

安全なウェブサイトの作り方：IPA 独立行政法人 情報処理推進機構 [ipa.go.jp]（改訂第7版）
https://www.ipa.go.jp/files/000017316.pdf [ipa.go.jp]

ウェブサイト内で保管したパスワードがSQLインジェクション攻撃などにより外部に漏洩した場合、パスワードリスト攻撃等の不正ログインに悪用される可能性が高くなります。このため、万一パスワード情報が漏洩した場合でも直ちに悪用されることのないように、パスワードを保護した形で保管します。この目的のためには、パスワードのハッシュ値（暗号論的ハッシュ関数により計算）の形で保管することが一般的に行われています。

IPAはこう説明してるわけだが、どこに管理者がユーザーになりすます危険性が書いてあるんだ？
お前は何のために一方向性ハッシュで暗号化してると思ってるんだ？
なあ、教えてくれよ？