「岩井コスモ証券のネット取引システムで認証トラブル、解決法は「パスワードの後ろにスペースを入力する」」記事へのコメント

なぜ解決できた？

[genkikko (36404)]

10桁に満たないパスワードを勝手にスペースで埋めて登録してたんですよね．

あっちが持ってるデータは，10桁に埋められたものから生成されたものですよね．

それを，スペース埋めなくてもいいようにしたってことは，もしかして例の生パスワードを保存してるんですってやつ？

と思ったけど，手動でスペースを入力してたのを，あっちで勝手にスペースを埋めるようにしただけかな．

Re:

[minet (45149)]

> あっちが持ってるデータは，10桁に埋められたものから生成されたもの

平文じゃなくても、ハッシュ化処理を10文字固定でやってるとか？

Re:

[s-wakaba (47029)]

10文字より長いパスワードを使っていると、１１文字目以降は実はデタラメでもOK、とかだと笑える。

Re:

[sunow (19805)]

10文字より長いパスワードを登録すると、勝手に10文字に切ってから登録するシステムがあったことを思い出した。

Re:

[Anonymous Coward]

Jetstarが今まさにそれだよ...いくら言ってもなおしてくれない

Re:

[Anonymous Coward]

そもそもパスワードの文字数の上限って、なんのためにあるんだろう。
異常なほど長いパスワードで通信量を逼迫させる馬鹿対策としても、1024文字くらいはOKにすればいいのに。

どうせ俺はパスワード覚える気は無いので、システムが受け入れる最長文字数のパスワードをランダムに生成して使ってるが。

Re:

[Anonymous Coward]

「なんで上限が必用？」なんて言ってる奴は、たぶんプログラミングしたこと無い人。
パスワードに限らず、何を作る場合でも上限は必用。

無限長なんてものを認めた時点で、プログラムもデバッグも必用とするリソースも、
そしてかかる工数と費用も桁違いに増える。動作保証も出来なくなる。
だからよほどのバカじゃ無きゃそんなことはしない
＃自動車の乗員しかり、トラックの積載量しかり。無限大などありえない。

Re:

[Anonymous Coward]

えっ、ハッシュ化して記録してあるパスワードと、入力パスワードを同様にハッシュ化して比較しないの？
どうせハッシュ化するんだし、パスワード長なんて関係ないと思ってたけど？
無限長とか言ってるトコ見ると、平文パスワードで保存してるの？もしかして？

Re:

[Anonymous Coward]

平文か暗号化したものを持ってるとこもあるんじゃない？
ハッシュ化は衝突がないことが保証できないので、
例えそれが2の512乗分の1という宇宙が滅びるよりあり得ない確率でも
承認しない役員がいてもおかしくない。

Re:なぜ解決できた？

[nim (10479)]

今、（IDじゃなく）パスワードの話ししてるんだよね。
衝突してなにが困るのさ。
普通、パスワードなんて平文の状態でもいくらでも衝突するんじゃないの。「１２３４」とか。
まあ、SALT付HASHなら、衝突の確率が格段に下がるな。

Re:

[Anonymous Coward]

> パスワードなんて平文の状態でも

って、平文の衝突とハッシュの衝突のはなししを一緒にしたらいかんと思うよ。

ハッシュが衝突する平文を見つければ、それが正しい平文でなくても認証を突破できるってこと。
元の平文が衝突するとは、まったく別の問題。