アカウント名:
パスワード:
セキュリティ重視というよりは、本当の狙いが透けて見えるような気がする。こんなの規制すべきではないだろうか。
まぁ、仕組みも含め調べもしない無知な人間だと「要は個人情報収集手段の3社共有化ね」と思うのも無理はないとは思ってます。があまり無知を公にさらさないほうが言いと思います。（どMならいいけど
逆に聞きたいんですが、顔や指紋ってオンリーワンのパーツですよねそれ使ってサインインするなら、三者で鍵が共通ならば紐付けが容易になると解釈しても良いのではないでしょうかいくらそれらがデバイス内での保存で完結するとしても、Aさんの指紋=hogehogeのログインキーって紐付けられてる時点で個人の行動を追跡できますよね
指紋情報はクラウドにもどこにも送信されないから名寄せは不可能だよ。
生態認証情報を集めるのではなく、同一生態認証(成りすまし出来ない)されたデバイスのアクセスを名寄せしたいんじゃないのかな。
「どうせ公開鍵をお漏らしさせまくるんだろう(鍵のペアが頻繁に更新されない場合、公開鍵を要求するWeb広告を作ったり、公開鍵でBanしたりできるかもしれない)」という批判ならわかるけど、複数端末の紐付けは容易にはならない。
書き漏らしたが、FIDOキーを複数持ったり使い分けたりするのは(サービス提供側に制限されない限り)自由なので、そういう風にして特定を避けることは可能。尤も、他にもフィンガープリンティングの手法は色々あるので、これだけを恐れるのはナンセンスかも知れないが。
あー読み直すといつも以上に怪文書になってるな。これからは眠い時にコメントしません。失礼しました。
「hogehogeさんがログインしたのはあの端末とこの端末」という情報で行動を追跡できるという話なら、生体認証ではなくパスワードによるログインでも同じこと。なりすましの可能性は減るけど、それによって紐づけが容易にはならないと思う。複数の人がアカウントを共有していて、それができなくなる程度ならありうるけど。
まさに、それだな。複数デバイス持ちのユーザートラッキングが簡単になる。例えば、銀行アクセス用の端末と普段利用のデバイスを別けているユーザーとかね。あの３社が善意だけで行動する等、とても考えられないな。
今までは端末ごとにID変えてましたっていうなら今後もそうすればいいだけじゃん
顔や指紋はログインに使われるけど使わないよ。
端末内でマスターパスワード（秘密鍵）が生成されていて、そのマスターパスワードにアクセスするのに指紋や顔が使われてる。だからログインに使われるのはマスターパスワード（から生成されるトークン）であって、指紋や顔は使われない。
ただ今回の仕組みとしては端末紛失しても問題起きないように、そのマスターパスワードをgoogleやmicrosoftのアカウント紐づけでgoogleやmicrosoftのサーバーへ送信するっぽい [srad.jp]んだよね。だから紐づけが容易になるという部分に関してはその通りだと思うし、個人の行動追跡に利用できると思う。実際にgoogleやmicrosoftが追跡するのかという部分は知らないけど技術的には可能という面でね。
サーバに送らなくてもBlueToothなどアドホック通信でもなんでもやり取りできるんだけど妄想膨らますにしても「送信するっぽい」んじゃなくて「送信は可能だろう」ってとこだろ
なんかびくびくしてる奴多いが、そもそもユーザのパスワードなんか大会社が集めてメリットあんのか?そもそもMicrosoftやGoogleが本気で集めようと思ったらこんな仕組み関係なくいくらでも集められるじゃろ
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー
要は個人情報収集手段の3社共有化ね (スコア:0)
セキュリティ重視というよりは、本当の狙いが透けて見えるような気がする。
こんなの規制すべきではないだろうか。
Re:生体認証もサポートしてくれりゃ (スコア:1)
まぁ、仕組みも含め調べもしない無知な人間だと「要は個人情報収集手段の3社共有化ね」と思うのも無理はないとは思ってます。
が
あまり無知を公にさらさないほうが言いと思います。（どMならいいけど
Re:生体認証もサポートしてくれりゃ (スコア:0)
逆に聞きたいんですが、
顔や指紋ってオンリーワンのパーツですよね
それ使ってサインインするなら、三者で鍵が共通ならば紐付けが容易になると解釈しても良いのではないでしょうか
いくらそれらがデバイス内での保存で完結するとしても、Aさんの指紋=hogehogeのログインキーって紐付けられてる時点で個人の行動を追跡できますよね
Re: (スコア:0)
指紋情報はクラウドにもどこにも送信されないから名寄せは不可能だよ。
Re: (スコア:0)
生態認証情報を集めるのではなく、同一生態認証(成りすまし出来ない)されたデバイスのアクセスを名寄せしたいんじゃないのかな。
Re: Re:生体認証もサポートしてくれりゃ (スコア:2)
「どうせ公開鍵をお漏らしさせまくるんだろう(鍵のペアが頻繁に更新されない場合、公開鍵を要求するWeb広告を作ったり、公開鍵でBanしたりできるかもしれない)」という批判ならわかるけど、複数端末の紐付けは容易にはならない。
Re: Re:生体認証もサポートしてくれりゃ (スコア:2)
書き漏らしたが、FIDOキーを複数持ったり使い分けたりするのは(サービス提供側に制限されない限り)自由なので、そういう風にして特定を避けることは可能。尤も、他にもフィンガープリンティングの手法は色々あるので、これだけを恐れるのはナンセンスかも知れないが。
Re: Re: Re:生体認証もサポートしてくれりゃ (スコア:2)
あー読み直すといつも以上に怪文書になってるな。これからは眠い時にコメントしません。失礼しました。
Re:生体認証もサポートしてくれりゃ (スコア:1)
「hogehogeさんがログインしたのはあの端末とこの端末」という情報で行動を追跡できるという話なら、生体認証ではなくパスワードによるログインでも同じこと。
なりすましの可能性は減るけど、それによって紐づけが容易にはならないと思う。
複数の人がアカウントを共有していて、それができなくなる程度ならありうるけど。
Re: (スコア:0)
まさに、それだな。
複数デバイス持ちのユーザートラッキングが簡単になる。
例えば、銀行アクセス用の端末と普段利用のデバイスを別けているユーザーとかね。
あの３社が善意だけで行動する等、とても考えられないな。
Re: (スコア:0)
今までは端末ごとにID変えてましたっていうなら今後もそうすればいいだけじゃん
Re: (スコア:0)
顔や指紋はログインに使われるけど使わないよ。
端末内でマスターパスワード（秘密鍵）が生成されていて、そのマスターパスワードにアクセスするのに指紋や顔が使われてる。
だからログインに使われるのはマスターパスワード（から生成されるトークン）であって、指紋や顔は使われない。
ただ今回の仕組みとしては端末紛失しても問題起きないように、そのマスターパスワードをgoogleやmicrosoftのアカウント紐づけでgoogleやmicrosoftのサーバーへ送信するっぽい [srad.jp]んだよね。
だから紐づけが容易になるという部分に関してはその通りだと思うし、個人の行動追跡に利用できると思う。実際にgoogleやmicrosoftが追跡するのかという部分は知らないけど技術的には可能という面でね。
Re: (スコア:0)
サーバに送らなくてもBlueToothなどアドホック通信でもなんでもやり取りできるんだけど
妄想膨らますにしても「送信するっぽい」んじゃなくて「送信は可能だろう」ってとこだろ
なんかびくびくしてる奴多いが、そもそもユーザのパスワードなんか大会社が集めてメリットあんのか?
そもそもMicrosoftやGoogleが本気で集めようと思ったらこんな仕組み関係なくいくらでも集められるじゃろ