「経産省、Cookie盗聴への対策を指示」記事へのコメント

パスワード忘れた場合

[chanbaba (13080)]

クッキーデータ無くして更にパスワード忘れた場合は、メールでパスワード送ってもらうんじゃないのか？
大抵平文でだよね。

ニュースサイトは大きな穴を見つけたみたいに書いているところあるけど、大したこと無い気がする。

Re:パスワード忘れた場合

[k3c (4386)]

SSLで重要なデータを入出力するWebサイトが平文のメールでユーザーにパスワードを送っていればそれは問題ですが、仮にその問題を指摘して改善されたとしても、今回指摘されたクッキー盗聴の問題が実在していれば、依然として重要なデータが盗まれる可能性は残ります。

また、そのようなWebサイトが平文メールでユーザーにパスワードを送っていなくても、今回指摘されたクッキー盗聴の問題が実在していれば(以下略)

平文メールでパスワード云々は、今回の問題の重要性になんら影響を与えません。

-----
もちろん、平文メールでパスワードを送って、それをそのまま恒久的にパスワードとして用いられるような実装は問題ですし、そのような実例を見つけたら(利用しない|指摘して修正してもらう|必要だと思えば公表する)というアクションが必要になることもあるでしょう。