「みずほ銀行オンラインバンキングサービスの何とも微妙なセキュリティ設定」記事へのコメント

ソースはどこにあるのでしょうか？

[Anonymous Coward]

半年くらい前に問合せをしたときに、
cookie を 削除する人は毎回 合言葉を入力するの形になるのは仕様であるとの
解答を頂いたのですが、仕様が変わったのでしょうか？

一応ヘルプにも
> cookie（クッキー）を削除したときなど、合言葉の入力が求められる場合があります。
> その際には、事前に登録された合言葉をご回答いただきます。

と あるのですが…

Re:

[kaguyaboshi (31023)]

私も「あれれ？」と思ったのでちょっと検証してみました。
1.イーモバイルで接続した後、みずほダイレクトにログイン（初回ログインだったので合言葉を聞かれる。常用環境として登録）
2.ログアウトした後回線を切り、再接続。前回と違うIPアドレスで接続されていることを確認。
3.再度みずほダイレクトログイン。合言葉は聞かれなかった。
4.回線は繋いだままmizuhobank関連のcookieを削除してログイン。合言葉は聞かれなかった。
5.再度回線切断→再接続。前回と違うIPアドレスで接続されていることを確認。
6.再度みずほダイレクトログイン。合言葉は聞かれなかった。

なんだかもっとわからなくなりました。
IPアドレスをキーにしていないであろうことは上記の検証から想像がつくのですが、cookie全削除しても合言葉聞かれないって……もしかしてIPアドレスではなくMACアドレスが記録されているのでしょうか。だとしたらこれ以上検証できないなあ。

Re:ソースはどこにあるのでしょうか？

[Anonymous Coward]

Macアドレスは基本的にルータを超えられませんよ。それができるならそもそもIPアドレスは不要でしょ。

Re:ソースはどこにあるのでしょうか？

[Anonymous Coward]

Mac OS の IPv6 アドレスが MAC アドレスを使うので MAC アドレスがばれるし、次にアクセスした時に同じ PC だってばれるっていう話がありますねぇ。

それはそうと、ブラウザを変えて試してみるというのは？
User-Agent だけが登録されてるとか。

Re:ソースはどこにあるのでしょうか？

[yasu (7)]

普通、自動設定にした場合にはMACアドレスが使われるから、MacOSだけの問題点ではないですよね。そもそもIPv6使っている時点で、特定しやすいわけですが。:-)

--
HIRATA Yasuyuki

Re:ソースはどこにあるのでしょうか？

[yasu (7)]

書き忘れ。FreeBSDやMacOSは、sysctl net.inet6.ip6.use_tempaddr=1 すればランダムなアドレスに設定できます。

--
HIRATA Yasuyuki

Re:

[Anonymous Coward]

Windows Vistaでは、標準設定で、この一時アドレスを使うようになっている。 [takagi-hiromitsu.jp]

MSってマシになったよな～

Re:ソースはどこにあるのでしょうか？

[kaguyaboshi (31023)]

先程検証に使用した環境は今日はもう使えない（自宅ではイーモバ圏外なのよorz）のですが、自宅のPCでブラウザを変えてみると合言葉を聞き直されました。

Re:

[Anonymous Coward]

まあとりあえずみずほダイレクトは明らかにIPv6対応していないのでIPv6は関係ないですね。