パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Windows 10 Insider Previewビルド10166提供開始、RTMの完成はいつ?」記事へのコメント

  • by Anonymous Coward on 2015年07月11日 11時34分 (#2845794)

    こりゃいい

    •  PIN サインイン自体は便利だと思います。タブレット端末で長いパスワードを毎回入力するとのは確かに面倒なので。

       しかし、Microsoft は 「パスワードは時代遅れです」「PIN はパスワードを使用するよりも速くて安全です」 [dekiru.net] なんて煽りをする前に、Microsoft アカウントでの Windows へのサインインは非常に危険 (TrueCrypt や BitLocker での HDD/SSD 暗号化時を除く)であるという真実を説明すべきだと思います。時代遅れなのは、GPGPUの急激な発展に伴ってハッシュ化されたパスワードが高速解析できるようになったという時代の流れに逆行して、Microsoft アカウントのパスワードハッシュという本来サーバにだけ保存されるべきものを、クライアントPCのHDD/SSDに保存するという脆弱な Windows 8 以降の Microsoft アカウントでのOSサインインシステムの方です。

       危険な理由は、Windows へのサインインに Microsoft アカウントを使わない場合には、パスワードのハッシュ値はMicrosoftのサーバにしか存在しませんが、Windows のサインインに使う場合にはパスワードのハッシュ値がクライアントPC・タブレットのHDD/SSDに保存されてしまうからです(そうでなければ、インターネット接続中でないと Windows へサインインできません)。PIN でのサインインにした場合であっても、同様に、パスワードのハッシュ値がHDD/SSDに保存されます(PIN を5回連続で間違えるとパスワードでのサインインが求められることからも分かる)。ハッシュ値が分かればよっぽど複雑で長いパスワードでない限り生パスワードが簡単に解析されてしまう [michisugara.jp]ので、HDD/SSD に含まれるパスワードのハッシュ値が盗まれたら、Microsoft アカウントのパスワードが解析され、Microsoft アカウントが悪用され続ける恐れがあります。

       Microsoft が推奨している Microsoft アカウント の使い方の場合、Microsoft アカウントに送受信したメール、仕事の重要なデータ、プライベートな写真などが集約されますので、それらの情報が継続的に見られてしまうと被害が大きいと思います。パスワードのハッシュ値が盗まれたことに気が付いたならば Microsoft アカウントのパスワードを変更すれば良いでしょうが、それまでに OneDrive やメール内容などの機密情報は盗み取られてしまいます。また、USBメモリーなどからブートできればパスワードのハッシュ値を数分間で盗み取れますので(ハッシュ値からの生パスワードの解析は後でやれば良いので)、ホテルでシャワーを浴びている間とか、煙草を吸いに行っている間とかにも盗まれる恐れがあり、それに気が付かない場合、継続的に情報が盗み取られてしまいます(Microsoft アカウントのログイン履歴を定期的にチェックしている人は大丈夫ですが)。

      ユーザーができる対策には、Windows へのサインインにローカルアカウントを使う、または HDD/SSD を TrueCrypt や BitLocker で暗号化するという2通りがあります。

      親コメント
      • by Anonymous Coward on 2015年07月11日 18時45分 (#2845914)

        ていうかNTLMハッシュが手に入るならパスワードを解析する必要すらない(なぜならばNTLMハッシュをそのまま流せば認証し放題だから)。
        http://d.hatena.ne.jp/softether/20130821#p1 [hatena.ne.jp]
        リンク先の記事では、対策はすべてのマシンの管理者パスワードを別々にすることと言っているが、Microsoftアカウントを使用するとすべてのマシンのパスワードは強制的に同一になるわけで…。これは確かにMS頭おかしいと言わざるをえない。
        ちなみにMicrosoftアカウントでもNTLMハッシュはローカルアカウントと同じように保存されるようだ。
        http://azuread.net/2013/07/16/microsoft%E3%82%A2%E3%82%AB%E3%82%A6%E3%... [azuread.net]

        親コメント
        • by Anonymous Coward

          登氏の記事、なるほどなあと思いました。
          ただ気になったこともあって、記事は2013/8で、Windowsでネットのアカウントでログインできるようになったのも比較的近い時期なのかな?、と。
          2015/7現在、インターネットの経路中の攻撃に対しても記事の通りの状況なのかなあ?と思いました。

      • セットにもよると思うのですが
          * デバイスの識別子
          * PIN設定時にそのデバイス専用にした認証の個別ハッシュ(長いとなおよし)
              # 2要素時の個別パスワード的な、というかソルト別にするだけでも違うよな...
        とか作ってないかな...

        というか現状の素の認証の口をそのまま使うとは思えないんだけど、どっか資料ないですかね。

        # 情報が不足してるので、ここまで悪しく言うのもちょっとどうかと思う。判断保留。

        --
        M-FalconSky (暑いか寒い)
        親コメント
        • Windows 10 Forensics - AFENTIS FORENSICS [afentis.com] によると、

          The SAM and SYSTEM files are still stored under Windows\system32\config in W10 TP,  (中略) The passwords stored on the SAM and SYSTEM files are still stored in the same NT-Hash forms and contain the same user data.

          と、Windows 10 Technical Preview でも、これまでの OS と同様に NT-Hash(NTLMハッシュ、ソルト無しの MD4 ハッシュ)が保存されているようです。

          未だに MD4 の脆弱なハッシュを使うというのは、Windows 10 でも ネットワーク認証の互換性維持のため NTLMv2 認証を捨てられなかったということですから、PIN設定時にNTLMハッシュを削除するという実装はできないのです。

          Microsoft 的には、HDD/SSD の暗号化(BitLocker)を使えば良いという考えなのかもしれませんが、Windows Home では使えない [microsoft.com] のでホームユーザーは危険に晒されるということになりそうです。

          NTLMハッシュは、一般人が用意できる解析用マシン [dit.co.jp]で、8桁のランダムな英子文字のみなら3.5秒、8桁のランダムな英大小文字+数字(62文字種)でも1時間 [dit.co.jp]で解析(NTLMハッシュから生パスワードを割り出す解析)可能です。

          親コメント
          • by Anonymous Coward

            検証記事だとCPUはともかくGPUの方が4枚使ってるとはいえ今時のハイエンドと比べるといまいち見劣りする性能だし、クラックまでの時間はもっと短いんでしょうね。

            • by Anonymous Coward

              一般人が用意できるって、結構お金かかってませんか?これ一般人の使うやつかなー?GPUもそろそろ速度が頭打ちになってきたし、ブルートフォース以外の性能は速度がた落ちだし、小文字だけみたいな論外パスワードでなきゃ、結局手が出せるのって10文字いくかどうかじゃないですか?記号必須、最低15文字とか制限かけられたら、さすがのGPUクラッカーでも無理だと思うけどな。

              • by Anonymous Coward

                ここで言う「一般人」とは特別な団体や企業ではない、という意味でしょう。
                その辺の店で揃えられる物で可能ということ。

              • by Anonymous Coward

                AWSでGPUインスタンス時間借りできっからねぇ今・・・

              • by Anonymous Coward

                それ言うたら、スパコンと言われてるものでもその辺の店でそろえられないことはないがな。金さえあれば。

      • HDDからハッシュ値を盗まれるような状態なら、どんなものも盗まれるでしょうに…

        親コメント
      • by Anonymous Coward
        Windows 8 は、格安タブレットでも システムドライブは BitLocker かかってる。
        ユーザーが明示的に解除しないかぎり BitLocker 使ってる状態なんだけど。
        • by Anonymous Coward on 2015年07月11日 17時30分 (#2845893)

          デバイスの暗号化(Device Encryption)だね。中身はシステムドライブだけの暗号化に限定したBitLocker。これのためだけにInstantGo(旧称:Connected Standby)対応のPCやタブレットを選ぶ価値があるよ。
          そうでないPCは高いアップグレード費用を払ってWindows Proに入れ替えて、さらにTPMなしでBitLockerを構成するためにSDカードかUSBメモリをつけっぱなしにする羽目になる。

          それなのにそれなのに、たかだか数%のパフォーマンスを稼ぐためだけに高速化テクニックと称して暗号化を解除する記事の目につくこと。
          その影響なのか単に担当者の好みなのかミスなのかしらないがせっかくの暗号化機能を既定で無効にして出荷するメーカ [impress.co.jp]さえある。

          ほとんどのタブレットなら下手にカスタマイズされていないぶん安心だと思うが、念の為に手元のマシンの暗号化状態を確認してみたほうがいいよ。もし不幸にして暗号化されてない場合、次の手順で確認して有効化できる。
          まずエクスプローラを開いてCドライブのアイコンに鍵マークが付いてればデバイスの暗号化は有効になっている。鍵が開いているのは、起動時は解錠してますという意味だから気にしなくていい。InstantGoに対応しているかどうかは「アラーム」アプリを開いてPCを目覚まし時計にできるか試そう。「アラームを鳴らすには、PCを起動しておく必要があります」というメッセージが出たらハードウェアがそもそもInstantGoに対応してない。出ないなら対応してる。もしCドライブのアイコンに鍵が見当たらない場合はチャームから「設定」の「PC設定の変更」で「PCとデバイス」を開いて、一番下の「PC情報」を選んで表示されたページの一番下に「デバイスの暗号化」があるから、それをオンにする。
          InstantGoに対応しているはずなのに「デバイスの暗号化」が表示されない時は、BIOSレベルで無効化されている。BIOS画面に入るにはPCの高速起動が無効になるようにチャームから「設定」の「PC設定の変更」で「保守と管理」を選んで「回復」の「PCの起動をカスタマイズする」から「今すぐ再起動する」を選ぶ。そして「PCの電源を切る」でいちど電源を切る。PCの起動後にBIOS画面を開いて、American Megatrends社製のBIOSの場合「Security」から「Secure Boot menu」を開いて「Secure Boot Mode」を「Standard」から「Custom」に変更する。BIOSの変更を保存してWindowsを起動すれば先ほどの「PC情報」に「デバイスの暗号化」が表示されるはずだ。
          暗号化をやめたい場合は「デバイスの暗号化」をオフにするだけでいい。

          書いていてイライラするが、最初からオンになっているものをオフにするよりだいぶ手間がかかる。あとタブレット買うようなユーザーが外付けキーボードを用意して英語のBIOS画面操作できるか心配だ。
          Windows Phoneのインタビュー記事なんか読むと、このメーカーはユーザーによかれと良かれと思ってやっているフシがある。液晶保護シートが最初から貼ってあるとか、余計なプリインストールアプリがないとか。このへんは評価できるんだが、セキュリティはもっと気を配って欲しい。別件だがデスクトップに標準で添付してる無線キーボードとマウス、あれも通信が暗号化されているのか心配だ。暗号化されてるなら明記するだろうから、たぶんしてないんだろうけど。
          電源周りの悪評に対しては改善策を出して頑張ったみたいだから、セキュリティ面でも改善を期待したい。

          親コメント
      • by Anonymous Coward

        PINはMicrosoftアカウントでのサインインとは全く関係ありませんよ?

      • by Anonymous Coward

        現実問題として、オフラインでもログインできなきゃ不便すぎるでしょ...

      • by Anonymous Coward

        危険というか、Windowsはオフラインでも使えるのが常識なんだから仕方ないじゃん。

        TrueCryptとBitLockerだって総当りで攻略できるのは同じでしょ。
        そうでなくてもTrueCryptはやたら完成度が高い割に作っている人が行方不明という謎ソフトなのに。
        暗号化して安心したつもりが、裏口があったらどうするよ。

        それよか未使用時は鍵のかかるロッカーに入れるとかUSBポートとケースをロックするとか物理的な手段も考えたほうがいいよ。

        あとね、オンラインに保存している情報なんてサーバーの管理者はいつでも見られるんだから気にしすぎるのもどうよ。
        センシティブな個人情報が流出しても「悪用は確認されていない」で済まされるでしょ。
        Microsoftアカウントに紐付けた時点で全人類と共有しているぐらいの大らかな気持ちで使うべき。

        • 危険というか、Windowsはオフラインでも使えるのが常識なんだから仕方ないじゃん。

          未だに過去のOSとのネットワークログオンの互換性を捨てきれず MD4 という脆弱なハッシュを保存していること、Microsoft アカウントのパスワードとOSのログオンパスワードを同一にしたことが問題なのです。

          TrueCryptはやたら完成度が高い割に作っている人が行方不明という謎ソフトなのに。
          暗号化して安心したつもりが、裏口があったらどうするよ。

          TrueCrypt はオープンソースのソフトで、大勢の人によって、安全性の監査が行われています。代表的なところは、OpenCryptAudit [opencryptoaudit.org]ですが、開発が中止された TrueCrypt 7.1 に未だに脆弱性・バックドアは見つかっていません。

          TrueCryptほど、国家やスパイ組織にとって都合の悪いソフトはなかなかないので、大勢の人が躍起になって脆弱性やバックドアを探したと思われますが、それでもそれが見つかっていないのです。これほど安全なソフトはなかなか無いのでは? それでも、「裏口があるかもしれない」と警戒されるのでしたら、どんな商用ソフトにも同様のことが言えるでしょう。

          TrueCryptとBitLockerだって総当りで攻略できるのは同じでしょ。

          TrueCrypt の暗号・ハッシュアルゴリズムは極めて強力で、パスフレーズがよっぽど脆弱でない限り、NSA規模の組織がスパコンを用いたとしても解読できないのです。暗号化アルゴリズムは公開されている一般的なもので、AES, Serpent, Twofish(いずれも鍵長256ビット、ブロック長128ビット)の単独使用あるいは AES-Twofish, AES-Twofish-Serpent, Serpent-AES, Serpent-Twofish-AES, Twofish-Serpentのカスケード方式の計8種類が選べます。いずれも極めて強力なものです。同様に、パスフレーズのハッシュアルゴリズム・ストレッチングも極めて強力です。

          一方、Windows 10 のNTLMハッシュは、Windows 10 でも NTLMハッシュ(ソルト無しの MD4)が保存される [it.srad.jp] に詳しく書きましたが、一般人が用意できる解析用マシンで、8桁のランダムな英子文字のみなら3.5秒、8桁のランダムな英大小文字+数字(62文字種)でも1時間で解析(NTLMハッシュから生パスワードを割り出す解析)可能なもので、次元が異なる話です。

          BitLocker は、AES 128 bit(CUIによる設定で256bitも可)で、4桁の数字などの脆弱なPINの利用であっても TPM の併用で安全な仕様となっています。TrueCrypt よりは安全性が落ちますが、現実的な時間での解析は現時点では不可能なことに変わりありません。

          あとね、オンラインに保存している情報なんてサーバーの管理者はいつでも見られるんだから気にしすぎるのもどうよ。
          センシティブな個人情報が流出しても「悪用は確認されていない」で済まされるでしょ。
          Microsoftアカウントに紐付けた時点で全人類と共有しているぐらいの大らかな気持ちで使うべき。

          確かに、その通りかもしれません。

          親コメント
          • by Anonymous Coward

            2点。
            TrueCryptをソースからコンパイルして使ってます?
            TrueCtyptをメンテ放棄されてるという認識ですが、脆弱性を放置されるっていう認識であってますか?

          • by Anonymous Coward

            要は、ローカルPCのパスワードとMSアカウントのパスワードを分けられればひとまず大丈夫ってこと?
            取り敢えずMSにそういう要望送っとけばいいかな?

    • by Anonymous Coward

      Windows 8からあったみたいね。MSアカウントなんかぜんぜん使ってなかったから知らなかった。Insider Previewで強制されなければ今後も使うことはなかっただろうし

      • by Anonymous Coward

        これ、同一アカウントでもデバイス毎に別の値に出来ます?
        出来ないなら危なっかしくて。。

        • by Anonymous Coward on 2015年07月11日 13時37分 (#2845821)

          もちろんできる。つーか「パスワードは時代遅れです」とかいうダイアログが出て、「なぜ長いパスワードより短いPINのほうが安全なのですか?」というリンクがあって、クリックするとご丁寧に「実際のところ、長さは問題ではないのです。PINは設定したデバイス上でしか有効ではありません云々」みたいな説明まで出てくる(文章は記憶に頼って書いているので細部が違うかもしれない)。

          親コメント
          • by Anonymous Coward

            実際は自分の生年月日を複数デバイスで使いまわしちゃってる人が多いんですけどね。

            • by Anonymous Coward

              そういう人はどうせパスワードだって123456とかつけてるだろうし。
              VMなのにどうして長くて面倒なMSアカウントのパスワードを入れなきゃならんねんと思ってただけに(個人的には)画期的。

          • by Anonymous Coward

            おおなるほど、ワンタイム(じゃないけど)・パスワードみたいなものか。

      • by Anonymous Coward

        それよりピクチャパスワードにしませんか?
        スタバでドヤ顔できますよ。

        • すれば、大丈夫と思ったことがありました^^;

          Paypalには顔パス機能というのがあるので、変顔を登録すればよいと思ったことがありまして登録したのですが、あの顔パス機能は登録された顔がレジにも表示されて、店員が「あ、同じ人」とわかると決済できるという仕組みです。

          なので、変顔登録はあまり意味がありません。下手するとレジのおねーさんの前で変顔しなきゃいけません(笑)

          原宿のブルックスで早期導入したので使った事がありますが、導入直後なので当然バイトでは対処できない。ということで、ついでに実地研修がはじまってしまい7人ぐらいの店員+店長でレジ接客されたことがあります(苦笑)
          ※この話をすると「ブルックスだから19円で飲めるの?」って言われますが、そんなことはありません。最低でもその20倍ぐらいかかります(今確認しなおしたらレギュラー400円税別)

          • by Anonymous Coward

            ウインドウズのピクチャパスワードは顔認証ではありません。カメラのない端末でも利用可能なオサレな機能。

          • by Anonymous Coward

            ピクチャーパスワードは画像を決めて、その画像に対して指で丸描いたり線描いたりしたパターンを登録するもの

        • by Anonymous Coward

          使ってますが、安全性は危ういものがありますね。

          入力アクションが視認しやすく、入力の揺らぎにも結構余裕があるようなので、
          入力は他人に見られないように行うべきですが、タブレットはスマフォに比べて画面サイズが大きく、
          意識的に隠して操作しなければ覗かれるリスクが高いです。

          基本的にキーボードのない環境で必要とする機能で、想定されるユースケースは携帯してどこでもという事になる訳で、
          つまりそれは秘匿性が未検証の空間で多用しがちという事です。

          ドヤ顔は細心の注意をもって行う必要があるでしょう。

      • by Anonymous Coward
        > MSアカウントなんかぜんぜん使ってなかったから知らなかった。

        MSアカウントは関係ないよ。
        ローカルWindowsアカウントでも使える。

        ちなみにローカルWindowsアカウントはインストール直後の最後のセットアップ(MSアカウント入力する前の画面あたりから)LANケーブル抜いておけばそっちでログインアカウント作れる。
        (まぁ。PINは作った後で設定するんだけどね)

        PIN 4桁数字限定なのが不満だけどねぇ。
        4~16桁で任意とかのほうがよかった。

日本発のオープンソースソフトウェアは42件 -- ある官僚

処理中...