「銀行口座のパスワードを顧客の許可なしに変更」記事へのコメント

パスワードは読取れてはいけない

[Anonymous Coward]

その位常識だろう！と思ったのだが。
パスワードって復号できない様にしておくものじゃないのかい？
内部犯行を防止する為にも可能なハードルはできるだけ置いておくものだろうに。

#暗号化したものが一致すれば良いので復号する必要は無い。

Re:

[Anonymous Coward]

>パスワードって復号できない様にしておくものじゃないのかい？
>内部犯行を防止する為にも可能なハードルはできるだけ置いておくものだろうに。

もちろんその方法がベストなのですが、昔大手のWebサイトの会員管理のシステムにかかわったことがありますが、
パスワードはプレインテキストでしたよ。

まぁ世の中そんなもんです・・・。

Re:パスワードは読取れてはいけない

[fetus-embryo (17108)]

『パスワードを忘れた』から再発行を依頼すると、仮パスワード等が発行されるのではなくて、元のパスワードをメールで送ってくるサイトって結構ありますよね。

平文を送ってこれるということは、まず間違いなくそのものをDBに格納しているわけで…。
# 逆(平文保存していても一方向ハッシュで保存しているように振舞わせることはできる)はわかりませんけど

--
うっうー

Re:パスワードは読取れてはいけない

[Anonymous Coward]

> 仮パスワード等が発行されるのではなくて、元のパスワードをメールで送ってくるサイトって結構ありますよね。

あるというより、パスワードの再設定を煩わしいと思う顧客も多いんですよ。サポートに「元に戻しておいてくれ」とかね。

Re:

[Anonymous Coward]

松井証券がそうだった。届いたのは郵便だけど。