パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

それでも「Passport」に登録しますか?」記事へのコメント

  • by seldon (5637) on 2001年12月24日 4時14分 (#49384)
    何か、本旨とは別の方(Passwd自体の脆弱性とか)に話が分散してる気がしますが、そもそもここで問題なのは、MS-Passportという実装の問題だけではなく、MS-Passport、もっと言えばシングルサインインという仕組み自体の脆弱性が問題なのではないでしょうか?
    Un*x系には古くからMS-Passportと同じようにシングルサインインを実現するNISがあり、また、このNISの実装の脆弱性に対応するためのsshを使ったshostsというのもあります。
    しかし、こういうシングルサインインという仕組みは便利な反面、一箇所が破られると被害が拡大してしまうため、NISなどをインターネットでアクセスできるような所で広範囲には使われて来なかったのです。
    CNetの元記事はMS-Passportの実装自体の問題を取り上げていますが、MS-Passportを使っていなくても、OSへのログオンパスワードもISPのパスワードも、POPのパスワードもその他サービスのパスワードも全部一緒にしているユーザであれば、どれか一つのパスワードが盗まれると全サービスを盗用されてしまいます。
    普通は、そういう事にならないよう「同じパスワードを使い回さないように」と言われている訳ですが、それを守ると「多くのパスワードを覚えておかなくてはいけない」という弊害が出てきて、それへの一つの回答としてMS-Passportが出てきた訳です。
    しかし、結局このMS-Passportも本質的には全部同じパスワードにして、勝手に入力してくれる仕組みでしか無い。
    要するにNISと同程度に脆弱で、それは危険と引き換えの便利さでしかないにも関わらず、便利さだけを強調し、危険性の面を隠したままに広範囲へプロモーションし、実際お金のやり取りなどにも導入していこうとしている所が問題なのではないでしょうか。

    これでも、かなりMicrosoftへ甘く書きましたが、個人的にはシステム管理者が全てをコントロールできる範囲でしか使われないNISよりも、システム管理などと言う事を考慮していないようなユーザが使うWindowsマシンがセキュリティ機構の一部に組み込まれる点や、単にホストが不正使用されてしまうだけでなく、実世界での商利用にまで被害が及ぶ可能性を考えれば、NISよりは段違いに危険だと思います。

    あくまでも仕組み自体の問題なので、Microsoftとしても悪い事をするヤツが悪いとしか言えなかったのでしょうねぇ...

    • パスワードたくさん過ぎておぼえきれない問題に関しては、MITのKerberos [mit.edu]プロジェクトなどで、安全性を保ちつつ実現する方法が模索されていたわけですが、この研究成果はMS Passportには生かされてないのでしょうか。いや具体的にKerberosのコードを取りこむとかそういうことではなくて、 どのような問題点があるからそれに対応できる仕組みが必要とかいう観点で。
      Kerberosは、すべての認証スキームをKerberos対応にする必要がありますが、そうしてしまうと非常に快適であるとものの本で読みました。 時間があれば試してみたい技術のひとつです。
      親コメント
      • Re:そもそもこれは... (スコア:3, すばらしい洞察)

        by seldon (5637) on 2001年12月25日 17時42分 (#49739)
        Kerberos自体は確かに注目に値するというレベルを超えて、 実用に耐える仕組みとして浸透しては来ていますが、 これはあくまでも、認証されたユーザを他のサーバでも認証した事にする仕組みであって、 最初の入口でユーザを認証する時点でのセキュリティを高める仕組みではありません。
        もちろん、このサーバ間の相互認証もとても重要な問題ですが、 それ以前の入口となる本当にそのユーザが真正な許可すべきユーザか否かという判断をする部分が、 NISやWindows系のドメイン認証で行われていたネットワーク管理者の手を離れて、 セキュリティ確保が難しい個人ユーザのPCへ移行してしまったにも関わらず、 各ユーザの知識(記憶)だけに依存するパスワードという方法に頼っているのは問題なのではないでしょうか。
        親コメント

コンピュータは旧約聖書の神に似ている、規則は多く、慈悲は無い -- Joseph Campbell

処理中...