アカウント名:
パスワード:
ルールは独自でいいんじゃないのかな?
てか、なんでパスワードの強弱を表示するんだろうね?強いって表示して破られたら誰の責任ですかね?
弱いパスワードは危険だからです。そして、弱いパスワードを弱いと表示していないから今回問題になってるのです。何を以って弱いと判定すべきかは、既に流出済パスワードの解析により分かっています。
流出してしまったら強い弱いには関係ないのでは?強いパスワードだろうが流出してしまえば第三者にログインされちゃうでしょ。
通常、パスワードはハッシュ化されて保存されているので、ハッシュ化されたパスワードが流出してしまっても強いパスワードであれば問題は少ないです。しかし、弱いパスワードだと、ハッシュ化されたパスワードから、元のパスワードを取得できてしまいます。
ハッシュ化されたパスワードから元のパスワードを取得する方法としては、例えば総当たり攻撃や、レインボーテーブルを使う方法、辞書攻撃などがあります。辞書攻撃では、攻撃成功率を上げるために、流出済平文パスワードから使用されているパスワードの傾向が調べられています。これらの攻撃に対してパスワードが弱いか強いかは重要なのです。
> 通常、パスワードはハッシュ化されて保存され> ているので、ハッシュ化されたパスワードが流> 出してしまっても強いパスワードであれば問題> は少ないです。
生パスワードが流出しているのですが。
#そうか!まだ春休みか!!
何の話をしているかは分かりませんが、生パスワードを保存している所なんて今日びありませんよ。レインボー攻撃に弱い非HMACなハッシュ関数(素のMD5やSHA1)を使っているところは、まだ残ってそう気はしますが。
何の話をしているかは分かりませんが、生パスワードを保存している所なんて今日びありませんよ。
もう少し世間というものを知ろう。
「ソニーはパスワード数千個を『パスワード』というフォルダに保管していた」 [gizmodo.jp]
大事なパスワード保管庫の名前が「Password」って…壁に何発か頭ぶつけてよしだよ!…………フォルダーにはもっと沢山のパスワードが入っています。「Facebookのログインパスワード」というのもあります。誰が見てもパスワード、どこから見てもパスワード。暗号化もセキュリティもなしの平文で、一般常識も小学生並みのオンライン安全対策もなし、です。
生パスワードが必要となるクライアント側となれば話は別ですよ。ハッシュだけで十分なサーバー側などとは事情が異なります。パスワードを保存するフォルダに暗号化をかけていても、セッション中はパスワード無しでアクセスできるという状態の所も多いでしょう。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
未知のハックに一心不乱に取り組んだ結果、私は自然の法則を変えてしまった -- あるハッカー
ルールは独自 (スコア:2)
ルールは独自でいいんじゃないのかな?
てか、なんでパスワードの強弱を表示するんだろうね?
強いって表示して破られたら誰の責任ですかね?
Re: (スコア:0)
弱いパスワードは危険だからです。そして、弱いパスワードを弱いと表示していないから今回問題になってるのです。
何を以って弱いと判定すべきかは、既に流出済パスワードの解析により分かっています。
Re: (スコア:0)
流出してしまったら強い弱いには関係ないのでは?
強いパスワードだろうが流出してしまえば第三者にログインされちゃうでしょ。
Re: (スコア:0)
通常、パスワードはハッシュ化されて保存されているので、ハッシュ化されたパスワードが流出してしまっても強いパスワードであれば問題は少ないです。
しかし、弱いパスワードだと、ハッシュ化されたパスワードから、元のパスワードを取得できてしまいます。
ハッシュ化されたパスワードから元のパスワードを取得する方法としては、例えば総当たり攻撃や、レインボーテーブルを使う方法、辞書攻撃などがあります。
辞書攻撃では、攻撃成功率を上げるために、流出済平文パスワードから使用されているパスワードの傾向が調べられています。
これらの攻撃に対してパスワードが弱いか強いかは重要なのです。
Re: (スコア:0)
> 通常、パスワードはハッシュ化されて保存され
> ているので、ハッシュ化されたパスワードが流
> 出してしまっても強いパスワードであれば問題
> は少ないです。
生パスワードが流出しているのですが。
#そうか!まだ春休みか!!
Re: (スコア:0)
何の話をしているかは分かりませんが、生パスワードを保存している所なんて今日びありませんよ。
レインボー攻撃に弱い非HMACなハッシュ関数(素のMD5やSHA1)を使っているところは、まだ残ってそう気はしますが。
Re: (スコア:0)
何の話をしているかは分かりませんが、生パスワードを保存している所なんて今日びありませんよ。
もう少し世間というものを知ろう。
「ソニーはパスワード数千個を『パスワード』というフォルダに保管していた」 [gizmodo.jp]
大事なパスワード保管庫の名前が「Password」って…壁に何発か頭ぶつけてよしだよ!……
……フォルダーにはもっと沢山のパスワードが入っています。「Facebookのログインパスワード」というのもあります。
誰が見てもパスワード、どこから見てもパスワード。
暗号化もセキュリティもなしの平文で、一般常識も小学生並みのオンライン安全対策もなし、です。
Re:ルールは独自 (スコア:0)
生パスワードが必要となるクライアント側となれば話は別ですよ。ハッシュだけで十分なサーバー側などとは事情が異なります。
パスワードを保存するフォルダに暗号化をかけていても、セッション中はパスワード無しでアクセスできるという状態の所も多いでしょう。